Memorie van toelichting : Memorie van toelichting
36 264 Wijziging van de Uitvoeringswet Algemene verordening gegevensbescherming en enkele andere wetten in verband met het stroomlijnen en actualiseren van het gegevensbeschermingsrecht (Verzamelwet gegevensbescherming)
Nr. 3 MEMORIE VAN TOELICHTING
Algemeen
1. Inleiding
Dit wetsvoorstel bevat verschillende technische en inhoudelijke aanpassingen van de
Uitvoeringswet Algemene verordening gegevensbescherming (UAVG), die op 25 mei 2018
in werking is getreden. Met deze wet wordt uitvoering gegeven aan de Algemene verordening
gegevensbescherming (AVG) en werd de Wet bescherming persoonsgegevens ingetrokken.
Daarnaast bevat dit wetsvoorstel wijzigingen van bepalingen met betrekking tot gegevensbescherming
in een aantal andere wetten.
Tijdens de behandeling van de UAVG heeft het kabinet toegezegd direct na afronding
van dit wetsvoorstel de mogelijkheden te verkennen voor verdere modernisering en verbetering
van het gegevensbeschermingsrecht.1 In lijn met deze toezegging heeft het kabinet toen ook de motie-Koopmans c.s. overgenomen,
waarin de regering werd verzocht de ervaringen met betrekking tot de UAVG te inventariseren
en in het licht daarvan zo nodig maatregelen te treffen.2 In het licht van deze toezegging en deze motie zijn de eerste ervaringen met de UAVG
geïnventariseerd. In een brief van 1 april 2019 is de Tweede Kamer geïnformeerd over
het resultaat van deze inventarisatie en in het bijzonder over de punten die in de
motie-Koopmans c.s. waren genoemd.3
Uit deze inventarisatie kwam het beeld naar voren dat er een sterke behoefte bestaat
en blijft bestaan aan voorlichting over de AVG, de UAVG en sectorale wetgeving die
als gevolg van de AVG is aangepast. In dat verband werd gewezen op de voorlichtingsactiviteiten
van de Autoriteit persoonsgegevens (AP), van koepelorganisaties of van een voorziening
als de AVG-helpdesk Zorg, Welzijn en Sport van het Ministerie van VWS. Verder bleek
dat er punten waren die aandacht zouden vragen bij de evaluatie van de AVG zelf, die
inmiddels is afgerond. De Tweede Kamer is hierover op 4 december 2020 geïnformeerd.4 Tot slot werd in voornoemde brief aangekondigd dat de Tweede Kamer nader zou worden
geïnformeerd over punten waarvoor een wijziging van de UAVG in voorbereiding is.
In vervolg daarop is de Tweede Kamer in een brief van 31 oktober 2019 geïnformeerd
over punten op dit vlak die nadien nog onder de aandacht van het kabinet zijn gebracht,
en is aangegeven op welke punten al voldoende kon worden beoordeeld dat het wenselijk
is de UAVG of eventueel andere wetgeving aan te passen. Daarvoor zou een wetsvoorstel
worden opgesteld dat in het eerste kwartaal van 2020 in consultatie zou worden gebracht.5 Op 4 juni 2020 is de Tweede Kamer geïnformeerd over het in consultatie gaan van het
wetsvoorstel Verzamelwet gegevensbescherming.6
Het nu voorliggende wetsvoorstel is van een en ander het resultaat.
Hierna wordt in het algemeen deel van deze toelichting ingegaan op de hoofdlijnen
van het wetsvoorstel (§ 2) en op de advisering en internetconsultatie over het wetsvoorstel
(§ 3).
De verhouding van de voorgestelde wijzigingen tot hoger recht en nationale regelgeving,
de (financiële) gevolgen en de inwerkingtreding worden toegelicht in het artikelsgewijze
deel van deze toelichting.
2. Hoofdlijnen van het voorstel
In dit wetsvoorstel worden, kortweg geformuleerd, naast wijzigingen van meer technische
en verduidelijkende aard de volgende wijzigingen voorgesteld, die in de artikelsgewijze
toelichting nader worden toegelicht:
• De definitie van persoonsgegevens van strafrechtelijke aard wordt in overeenstemming
gebracht met de unierechtelijke uitleg van het begrip strafrechtelijke persoonsgegevens.
• De regeling voor verwerking van persoonsgegevens door de krijgsmacht wordt verduidelijkt.
• Vanaf de leeftijd van 12 tot 16 jaar, kan een jongere die van mening is dat er geen
verwerking van persoonsgegevens meer zou moeten plaatsvinden, voortaan onafhankelijk
van zijn vertegenwoordiger besluiten om de toestemming voor verwerking van zijn persoonsgegevens
in te trekken (artikel I, onderdeel D).
• Tenzij de Wet op de geneeskundige behandelingsovereenkomst zich hiertegen verzet,
kunnen de rechten uit Hoofdstuk 3 AVG van jongeren tot 12 jaar door zijn wettelijk
vertegenwoordiger worden uitgeoefend en vanaf 12 tot 16 jaar daarnaast ook door de
jongere zelf. Voor een betrokkene die onder curatele is gesteld of ten aanzien van
een betrokkene ten behoeve van wie een bewind of mentorschap is ingesteld, worden
deze rechten uitgeoefend door diens wettelijk vertegenwoordiger, voor zover het een
aangelegenheid betreft waarvoor de betrokkene onbekwaam dan wel onbevoegd is. (artikel I,
onderdeel D).
• In de regeling van de benoeming van leden van de Autoriteit persoonsgegevens (AP)
zijn grondslagen opgenomen om nadere regels te stellen over onder meer de noodzakelijke
kwalificaties waarover een lid dient te beschikken, en de benoemingsprocedure (artikel I,
onderdeel E).
• Het verbod om bijzondere categorieën van persoonsgegevens te verwerken is niet langer
van toepassing indien de verwerking noodzakelijk is voor een door een accountant te
verrichten bij wettelijk voorschrift voorgeschreven opdracht. Voor zover het om gegevens
gaat die onder het medisch beroepsgeheim vallen of hebben gevallen, dienen die eerst
te worden gepseudonimiseerd. In het verlengde hiervan wordt geregeld dat onder meer
ook toezichthouders van de Stichting Autoriteit Financiële Markten (AFM) en de Nederlandse
Beroepsorganisatie van Accountants (NBA) bijzondere categorieën van persoonsgegevens
mogen verwerken, voor zover dat noodzakelijk is voor de uitvoering van hun taken (artikelen I,
onderdeel I, en de artikelen IX en XII).
• In de regeling van de uitzondering op het verbod om biometrische gegevens te verwerken
met het oog op de unieke identificatie van een persoon, indien de verwerking noodzakelijk
is voor authenticatie of beveiligingsdoeleinden, is onder meer de doelbeperking expliciet
gemaakt, namelijk de rechtmatige toegang tot bepaalde plaatsen, gebouwen, diensten,
producten, informatiesystemen of werkprocessystemen (artikel I, onderdeel K).
• Er wordt een regeling opgenomen om de overdracht van medische dossiers door hulpverleners
en niet hulpverleners te verduidelijken. (artikel I, onderdeel M)
• De in artikel 45 UAVG geregelde uitzondering voor archiefbewaarplaatsen om rechten
van betrokkenen te moeten honoreren als het recht op correctie of het recht op vernietiging
gaat ook gelden voor andere voor het publiek toegankelijke instellingen die archieven
van blijvende waarde voor het algemeen en historisch belang beheren en die geen winstoogmerk
hebben (artikel I, onderdeel R)
• De delegatiemogelijkheid van het tweede lid om op grond van de UAVG een algemene maatregel
van bestuur op te stellen waarin gebruik van een identificerend nummer te gebruiken,
komt te vervallen. (artikel I, onderdeel S)
• Voor het geval dat een tijdelijke onafhankelijke commissie of een eenmalig adviescollege
wordt ingesteld, met als opdracht om voortvarend onderzoek te doen naar een specifiek
en afgebakend onderwerp van aanmerkelijk maatschappelijk belang waarbij persoonsgegevens
moeten worden verwerkt, wordt in de UAVG bepaald dat in de ministeriële regeling ter
instelling van deze commissie of dit adviescollege tevens een aantal onderwerpen met
betrekking tot de verwerking van persoonsgegevens regelt (artikel I, onderdeel T).
• In de Faillissementswet wordt verduidelijkt dat de curator bij de uitoefening van
zijn wettelijke taken persoonsgegevens, waaronder bijzondere categorieën van persoonsgegevens,
persoonsgegevens van strafrechtelijke aard en identificerende nummers, als bedoeld
in de UAVG en AVG rechtmatig kan verwerken.
• In de Vreemdelingenwet 2000 wordt het gebruik van het vreemdelingennummer nader geregeld.
• In de Wegenverkeerswet 1994 en de Wet administratiefrechtelijke verkeershandhaving
wordt een duidelijke grondslag opgenomen voor de verwerking van de persoonsgegevens
door de eigenaar of kentekenhouder, of voor de (door)verstrekking van die gegevens
aan de daadwerkelijke bestuurder dan wel de houder van het motorrijtuig met het oog
op het achterhalen van de bestuurder, of voor het verhaal van het reeds door de eigenaar
of kentekenhouder betaalde boetebedrag (artikel IV en V).
• In de Wet op de rechtsbijstand (Wrb) wordt voorzien in de noodzakelijke grondslag
om de relevante ketenpartners van het bestuur van de raad voor rechtsbijstand in staat
te stellen het burgerservicenummer te gebruiken om te waarborgen dat de gegevens die
zij ter uitvoering van de Wrb met het bestuur uitwisselen, ook daadwerkelijk betrekking
hebben op de juiste personen (artikel VIII).
• In de Wet op het financieel toezicht (Wft) wordt verduidelijkt dat financiële ondernemingen
in het kader van het uitvoeren van transactiemonitoring zo nodig ook geautomatiseerd
transacties kunnen blokkeren of opschorten als hiervoor aanleiding is, en wordt ook
de verplichting tot het uitvoeren van transactiemonitoring zelf in de Wft opgenomen
(artikel X).
In artikel 50 UAVG is bepaald dat de Minister voor Rechtsbescherming binnen drie jaar
na de inwerkingtreding van de UAVG, en vervolgens telkens na vier jaar, aan de Staten-Generaal
een verslag zendt over de effecten van deze wet in de praktijk en over de uitvoering
van de wet in de praktijk. De hier bedoelde evaluatie had uiterlijk 25 mei 2021 moeten
zijn afgerond. Dit is niet gelukt en de verwachting is dat deze mei 2022 is afgerond.
Naar verwachting zal ook deze evaluatie aanleiding kunnen geven om opnieuw wijzigingen
van de UAVG in overweging te nemen. Dit zal echter in een nieuw wijzigingsvoorstel
van de UAVG worden meegenomen.
Voor wat betreft de grondrechtelijke aspecten wordt hier verwezen naar paragraaf 1
van de memorie van toelichting bij de UAVG, waar uitvoerig op deze aspecten ingegaan
wordt. De voorstellen met betrekking tot de wijzigingen in dit voorstel moeten in
dat licht bezien worden. Dit geldt ook voor de verhouding tot hoger recht. Voor zover
dit anders is, wordt hierop nader ingegaan in de artikelsgewijze toelichting.
3. Advies en consultatie
3.1. Inleiding
Een ontwerp van deze wet is ter consultatie voorgelegd en daarop zijn van diverse
instanties, maar ook van enkele burgers 49 consultatiereacties ontvangen. Het gaat
om verschillende brancheverenigingen, zowel van het bedrijfsleven als de overheid.
Ook hebben diverse belangenorganisaties en deskundigen op verschillende terreinen
waarop dit wetsvoorstel ziet gereageerd. Over het algemeen zijn de reacties uitvoerig
en constructief van aard en is waar mogelijk rekening gehouden met de inbreng.
Omdat het een wetsvoorstel voor een verzamelwet betreft, bevat het naar zijn aard
veel verschillende onderwerpen, die ook niet vanzelfsprekend onderling samenhangen.
Een aantal thema’s komt in dit algemeen deel van de toelichting aan de orde; op meer
specifieke consultatiereacties zal in de artikelsgewijze toelichting ingegaan worden.
In verband met de leesbaarheid zal echter niet in alle gevallen specifiek ingegaan
kunnen worden op ieder advies.
Naar aanleiding van de consultatiereacties zijn diverse wetsartikelen verbeterd en
wordt in de toelichting bij die artikelen in algemene zin ingegaan op de veranderingen.
Door diverse instanties, maar ook burgers worden ook nieuwe onderwerpen aangesneden,
die in de UAVG of andere wettelijke regelingen in deze Verzamelwet zouden moeten worden
meegenomen. Er is voor gekozen de omvang van dit wetsvoorstel beperkt te houden, omdat
het gaat om een verzamelwet, waarvan de verschillende onderdelen niet van een omvang
en complexiteit mogen zijn of dermate gevoelig, dat ze en afzonderlijk wetsvoorstel
rechtvaardigen. Nieuwe onderwerpen zullen daarom over het algemeen worden betrokken
bij eventuele volgende wijzigingen van de UAVG of andere wetgeving.
Hierna wordt allereerst ingegaan op het advies van de Autoriteit persoonsgegevens
en daarmee samenhangende reacties op de internetconsultatie (§ 3.2) en vervolgens
op de regeldruk, uitvoerbaarheid en doenvermogen (§ 3.3) en enkele overige consultatiereacties
(§ 3.4). In § 3.5 volgt een overzicht van aanpassingen in het wetsvoorstel ten opzichte
van de internetconsultatieversie.
3.2. Advies Autoriteit persoonsgegevens en samenhangende reacties
Bij brief van 20 mei 2020 is de Autoriteit persoonsgegevens (AP) op grond van het
bepaalde in artikel 36, vierde lid, AVG geraadpleegd over het conceptwetsvoorstel
voor een Verzamelwet gegevensbescherming. Op 11 november 2020 heeft de AP haar advies
uitgebracht7.
De AP heeft een aantal opmerkingen en suggesties bij het conceptwetsvoorstel. Een
aantal onderwerpen verdient separate bespreking en daarop zal hieronder worden ingegaan.
Een aantal onderwerpen zal in de artikelsgewijze toelichting worden besproken.
Bijzondere persoonsgegevens en gegevens van strafrechtelijke aard in bevel vordering
aangifte op klacht
De AP adviseert de voorgestelde artikelen waarbij een grondslag voor de verwerking
van bijzondere persoonsgegevens en persoonsgegevens van strafrechtelijke aard bij
het voldoen aan een bevel of vordering op grond van het Wetboek van Strafvordering,
voor het doen van aangifte of klacht van strafbare feiten of voor het voldoen aan
een wettelijke aangifteplicht, te schrappen. De AP is van oordeel dat uit de artikelen 5,
6 in het bijzonder het derde lid, en de artikelen 9 en 10 AVG, af te leiden is dat
waar deze gegevens worden verwerkt op een wettelijke grondslag, de wetgever in formele
zin de noodzaak van verwerking van (ook) de desbetreffende persoonsgegevens voor het
betrokken doel zorgvuldig moet hebben afgewogen. Het is daarbij van groot belang dat
wetsteksten en de toelichting uitsluitsel geven over de aard van de verwerkingen waartoe
hij een rechtsgrond biedt en de gerechtvaardigdheid hiervan verantwoordt. Indien het
niet duidelijk is, dient er een expliciete bepaling te worden opgenomen. Er is echter
veel wetgeving, waarvan evident is dat de uitvoering ervan verwerking van bijzondere
persoonsgegevens of van persoonsgegevens van strafrechtelijke aard met zich meebrengt.
In die gevallen is het ook evident dat bij vaststelling van de wet de verwerking van
bijzondere of strafrechtelijke persoonsgegevens is meegewogen en dient de memorie
van toelichting dus ook zo goed mogelijk inzicht te bieden in de gevallen waar het
om gaat en de afwegingen die zijn gemaakt is meegewogen. Ook zonder expliciete vermelding
van de bijzondere of strafrechtelijke aard ervan, biedt de desbetreffende wet dan
een bestendige grondslag voor de verwerking daarvan. In de gevallen dat dit zonneklaar
is, heeft een expliciete bevestiging daarvan in een aparte wettelijke bepaling naar
het oordeel van de AP dan geen toegevoegde waarde. De specifieke wettelijke bepalingen
die de rechtsgrond vormen voor de verwerking bieden dan naar hun aard al een grondslag
voor de verwerking van bijzondere persoonsgegevens of persoonsgegevens van strafrechtelijke
aard. Het ligt in de rede om expliciete bepalingen in de wet op te nemen, indien in
context bezien niet als vanzelfsprekend volgt dat ook beoogd is verwerking van bijzondere
persoonsgegeven of gegevens van strafrechtelijke aard mogelijk te maken.
De AP staat een materiele benadering voor, waarbij telkens nauwkeurig in kaart wordt
gebracht welke persoonsgegevens van bijzondere of strafrechtelijke aard aan de orde
zouden kunnen zijn en waarbij zoveel mogelijk op maat de nodige wettelijke voorzieningen
worden getroffen. Een algemene bepaling «voor de duidelijkheid» past daar volgens
de AP niet goed bij.
Naar het oordeel van de AP beogen de wettelijke bepalingen inzake het doen van aangifte
of indienen van een klacht duidelijk het verstrekken van zoveel mogelijk relevante
informatie over een strafbaar feit aan de opsporingsautoriteiten, waaronder (indien
bekend) persoonsgegevens van verdachte(n). Naar het oordeel van de AP is hieraan inherent
dat de aangifte ook persoonsgegevens van strafrechtelijke en bijzondere aard zal kunnen
bevatten, zodat expliciete wettelijke machtiging niet nodig is. Deze zienswijze van
de AP wordt gevolgd en de eerder voorgestelde artikelen worden niet opgenomen in het
wetsvoorstel.
Beperking rechten betrokkenen door de verwerkingsverantwoordelijke
De AP gaat ook in op de voorgestelde wijzigingen ten aanzien van artikel 41 UAVG,
waarbij een vierde en vijfde lid worden ingevoegd. Dat artikel biedt verwerkingsverantwoordelijken
de mogelijkheid om, bij wijze van vangnet, onder voorwaarden af te wijken van rechten
van betrokkenen. De in de internetconsultatie voorgestelde artikelleden bevatten een
regeling om, indien een verwerkingsverantwoordelijke gebruik maakt van de bevoegdheid
de rechten van betrokkene in te perken, hij dit, voorzien van een dragende motivering,
schriftelijk meedeelt aan de betrokkene, onder gelijktijdige toezending aan de AP.
De AP moet vervolgens periodiek deze afschriften ter beschikking stellen aan Onze
Minister.
De AP geeft aan dat onzeker is of de huidige opzet van artikel 41 tegemoetkomt aan
de vereisten van artikel 23 AVG. Dat artikel lijkt de beperkingen van de rechten van
betrokkenen alleen mogelijk te maken door middel van algemene, aan de beperking voorafgaande
Unierechtelijke of lidstaatrechtelijke wettelijke bepalingen, die op de verwerkingsverantwoordelijke
van toepassing zijn. Het tweede lid van artikel 23 AVG stelt eisen aan de wetgeving
die de beperkingen mogelijk maakt, namelijk dat bepaalde aspecten daarin zijn geregeld.
Artikel 41 voldoet daar op dit moment niet aan, zo is de AP van oordeel. De voorgestelde
waarborg voor transparante afweging door de verwerkingsverantwoordelijk en vergroting
van inzicht in de toepassing in de praktijk van de bepaling acht de AP in dit licht
slechts een beperkte verbetering.
De AP stelt voor het artikel te schrappen of drastisch te verbeteren en geeft hiervoor
een aantal overwegingen. Onder meer oordeelt de AP dat in de toelichting duiding van
de omvang en de impact van de huidige praktijk van toepassing van deze bepaling ontbreekt.
De voorgestelde procedure om de AP te informeren over de toepassing van dit artikel
beoogt hierin deels in te voorzien, maar de onderbouwing van een behoefte aan een
dergelijke algemene voorziening ontbreekt. De AP is van oordeel dat nader onderzoek
op zijn plaats is. Uit een analyse van de wetgeving die strekt tot bescherming van
de belangen die mogen worden ingeroepen ter beperking in combinatie met het bevragen
van deskundigen uit de praktijk zal kunnen blijken op welke terreinen welke beperkingen
aan de orde zouden kunnen zijn.
De AP adviseert artikel 41 UAVG te schrappen en in plaats daarvan zoveel mogelijk
in de UAVG de rechten van betrokkenen op maat te beperken. Bij bijvoorbeeld wissing
van criminele sporen of verstrekking aan OM of AIVD is de wenselijkheid daarvan op
dit moment al gebleken. Voor het overige adviseert de AP op basis van een nadere analyse
een risicoafweging te maken. De uitkomst van deze afweging zou kunnen leiden tot het
in de sectorwetgeving opnemen van de mogelijkheid van (al dan niet tijdelijke) delegatie
van wetgeving die beperking mogelijk maakt.
Verschillende instanties die die advies8 hebben uitgebracht naar aanleiding van de internetconsultatieversie, merken op dat
zij de voorgestelde nieuwe eisen ook niet kunnen onderschrijven. Onder meer omdat
geen rekening ermee wordt gehouden dat er redenen kunnen zijn dat niet aan betrokkene
kan worden meegedeeld waarom zijn rechten worden beperkt, omdat hiermee afbreuk gedaan
wordt aan het doel van de beperking. Ook merken veel van deze partijen op dat met
het verplicht een afschrift moeten sturen aan de AP een grote administratieve last
ontstaat.
Gezien de reacties op dit voorstel in de Verzamelwet, enerzijds van de AP, die een
meer fundamentele herziening voorstelt van dit hele artikel en anderzijds de overige
reacties die daarentegen juist wijzen op de onwenselijkheid van het geven van redenen
voor beperking van rechten, bij bijvoorbeeld fraudeonderzoek, en op de hoge administratieve
lasten die deze voorstellen met zich meebrengen, is besloten de voorgestelde verplichtingen
niet door te voeren. De verschillende opmerkingen en vooral de opmerkingen van de
AP, die voorstelt een fundamentele herziening van de uitwerking van artikel 23 AVG
te overwegen, leiden tot dit besluit. Een fundamentele herziening past echter niet
in het bestek van deze Verzamelwet en vergt bovendien meer onderzoek en gedachtenvorming.
Ook is op dit moment onvoldoende bekend wat de omvang en werking is van het gebruik
van de mogelijkheden van artikel 41. De regering acht het daarom onwenselijk artikel 41
in zijn geheel te schrappen, zoals de AP adviseert, omdat de gevolgen daarvan op dit
moment onvoldoende zijn te overzien. Dit blijkt ook uit de eerder genoemde overige
consultatiereacties. Wel zal naar aanleiding van de opmerkingen en suggesties van
de AP worden bezien of er voldoende aanleiding is om alsnog tot wijziging in de door
de AP voorgestelde zin moet worden overgegaan. Dit vergt echter tijd.
Als blijkt dat de regelgeving moet worden aangepast en als duidelijk is op welke wijze
dit het beste kan worden vormgegeven, zal dit in een ander wetsvoorstel dan het onderhavige
worden meegenomen.
Uitzonderingen inzake gegevens over gezondheid door patiëntenverenigingen
In het wetsvoorstel zoals dat in consultatie is gegaan, was, mede naar aanleiding
van de motie-Koopmans9 een grondslag opgenomen op grond waarvan onder meer verenigingen voor cliëntenbelangen
in de zorg- en welzijnssector gegevens over de gezondheid van hun leden mogen verwerken
voor intern gebruik in bijvoorbeeld hun ledenbestand.10 De AP merkt op dat het vereiste van uitdrukkelijke toestemming bij een verwerking
als deze in beginsel juist gepast lijkt. Een wettelijke grondslag zou volgens de AP
tot gevolg kunnen hebben dat zelfs tegen de wil van betrokkene diens bijzondere persoonsgegevens
zouden mogen worden verwerkt.
Voor het maken een uitzonderingsgrond op het verbod om gezondheidsgegevens te verwerken
is onder meer vereist dat er sprake is van een zwaarwegend algemeen belang. De AP
geeft aan dat van een dergelijk zwaarwegend algemeen belang op dit moment niet blijkt.
Aan deze opmerkingen is gevolg gegeven, omdat de problemen in de praktijk niet van
zodanige aard zijn dat op dit moment sprake is van een noodzaak voor uitbreiding van
de grondslag voor de verwerking van gezondheidsgegevens, naast de al mogelijke grondslag
uitdrukkelijke toestemming. De voorgestelde grondslag is dan ook geschrapt. Wel worden
nog gesprekken gevoerd met betrokken partijen. Wanneer in bepaalde situaties de noodzaak
vast komt te staan, zal dat kunnen worden meegenomen bij een volgende wijziging van
de UAVG.
Tarieven
De AP verzoekt om in de UAVG een algemene grondslag op te nemen voor het in rekening
kunnen brengen van een tarief voor behandeling van kennelijk ongegronde of buitensporige
verzoeken en tevens de gelegenheid te nemen om een voorziening te treffen om bepaalde
activiteiten, zoals bijvoorbeeld het aanvragen van een vergunning, gedragscodes of
de goedkeuring voor internationale doorgifte te kunnen doorberekenen. Bij kennelijk
ongegronde of buitensporige verzoeken kan de toezichthoudende autoriteit op basis
van de bestaande AVG nu reeds een redelijke vergoeding rekenen of weigeren aan het
verzoek gevolg te geven. Het is aan de toezichthoudende autoriteit om de kennelijke
ongegronde of buitensporige aard van het verzoek aan te tonen. In de mogelijkheid
kosten te rekenen in die gevallen is dus al voorzien in de geldende wet. Het tweede
verzoek van de AP om een voorziening te treffen om voor bepaalde activiteiten een
tarief in rekening te kunnen brengen, zoals bijvoorbeeld het aanvragen van een vergunning
of het aanvragen van een voorafgaande raadpleging, vraagt om een nadere afweging.
Het onderwerp leent zich gezien de aard ervan niet voor deze verzamelwet. Daartoe
zou gezien de complexiteit en omvang een afzonderlijk wetstraject nodig zijn.
Klachtrecht voor maatschappelijke organisaties
De AP suggereert te overwegen om de mogelijkheid te benutten die de AVG in artikel 80,
tweede lid, biedt aan lidstaten om maatschappelijke organisaties onafhankelijk van
de opdracht van een betrokkene een klacht te kunnen laten indienen indien die organisatie
van mening is dat rechten van betrokkenen zijn geschonden.11 De AVG biedt in artikel 80, eerste lid, al de mogelijkheid dat een maatschappelijke
organisatie namens betrokkenen (onder meer) een klacht kan indienen bij de toezichthoudende
autoriteit of een civiele procedure kan starten (tot schadevergoeding) tegen de verantwoordelijke
of verwerker. De regering ziet geen noodzaak dit ook mogelijk te maken zonder opdracht
van de betrokkene. Een maatschappelijke organisatie kan in Nederland wel op grond
van art. 3:305a BW met een collectieve actie een verklaring voor recht vorderen. Sinds
de inwerkingtreding van de Wet afwikkeling massaschade in collectieve actie (WAMCA)
per 1 januari 2020 is daarnaast het collectief vorderen van schadevergoeding mogelijk.
De regering ziet op dit moment geen aanleiding om dit mee te nemen in deze wetswijziging.
Digitale nalatenschap
De AVG is niet van toepassing op de verwerking van persoonsgegevens van overleden
personen. Lidstaten kunnen hierover echter wel regels stellen.12 De AP adviseert zo mogelijk in dit wetsvoorstel voorzieningen te treffen voor het
stellen van deze regels. De Universiteit van Amsterdam (UvA) heeft onderzoek gedaan
naar de juridische aspecten van de digitale nalatenschap. Dit onderzoek, dat half
april 2021 is afgerond, is op 6 juli 2021 samen met een publiekspeiling over digitale
nalatenschap naar de Tweede Kamer gezonden.13 Uit dit onderzoek blijkt dat – afgezien van de nog niet erg ontwikkelde maatschappelijke
en juridische opvattingen – voor wettelijke regels een probleemdefinitie ontbreekt
die nodig is voor een stevige onderbouwing van nut en noodzaak om overheidsinterventie
te rechtvaardigen. Gelet op de publiekspeiling is onduidelijk of burgers nu ook een
probleem ervaren met betrekking tot de omgang met digitale accounts na overlijden
en of dit niet eerst kan worden opgelost door de markt zelf (via voorlichting, tools
en specifieke dienstverlening).
Voor wettelijke maatregelen lijkt het daarom nog te vroeg. Eerst zouden de verdere
ontwikkelingen en de maatschappelijke discussie over dit onderwerp zich nader moeten
uitkristalliseren. Een Europese regeling heeft bovendien de voorkeur boven een nationale
regeling vanwege de grensoverschrijdende aspecten van online dienstverlening en de
belemmeringen die daarin kunnen optreden als gevolg van nationale maatregelen.
Op initiatief van Nederland is het onderwerp digitale nalatenschap op EU-niveau besproken,
tijdens de lunchbespreking van het Sloveense voorzitterschap op de JBZ-raad van 16 juli
2021. De Europese Commissie gaf op deze bijeenkomst aan nut te zien in verder onderzoek
naar dit onderwerp en de problemen die burgers ervaren naar de noodzaak van eventuele
nadere regelgeving noodzakelijk.
Beperken van de uitzondering meldplicht datalekken voor financiële ondernemingen
De AP adviseert de uitzondering op de meldplicht datalekken van artikel 42 UAVG te
beperken tot banken, omdat de reikwijdte van het begrip financiële onderneming uit
de Wet op het financieel toezicht (Wft) te breed is en een categorie ondernemingen
kent, waarvoor het risico op een «bankrun» bij een meldplicht datalekken niet aanwezig
zou zijn. Het is een reeds lang onder de Wft bestaande praktijk dat een financiële
onderneming incidenten wel moet melden aan de financieel toezichthouders, maar niet
aan betrokkene. Dit is niet alleen bij banken te risicovol om dwingend te worden voorgeschreven.
De zorgplicht van de financiële onderneming zal echter waarborgen dat zij ook zonder
dat dit dwingend wordt voorgeschreven haar verantwoordelijkheid jegens haar cliënten
zal nemen. De regering volgt dit advies van de AP dan ook niet op.
3.3 Regeldruk, uitvoerbaarheid en doenvermogen.
Bij brief van 20 mei 2020 is het Adviescollege toetsing regeldruk geraadpleegd over
het conceptwetsvoorstel voor een Verzamelwet gegevensbescherming. Op 4 juni 2020 heeft
het Adviescollege laten weten dat zij afziet van het uitbrengen van een formeel advies,
omdat zij van mening is dat er geen gevolgen voor de regeldruk zijn.
Voor een nadere uitvoerbaarheids- doenvermogentoets is in het kader van de voorbereiding
van dit wetsvoorstel geen aanleiding gezien. In dit voorstel worden vooral grondslagen
voor gegevensverwerking geïntroduceerd of regelingen verduidelijkt dan wel verbeterd.
De regelgeving richt zich daarnaast voornamelijk tot de verwerkingsverantwoordelijke
voor gegevensverwerkingen, doorgaans handelend in een professionele hoedanigheid.
3.4. Overige consultatiereacties
In de consultatiereacties worden ook verschillende nieuwe onderwerpen naar voren gebracht,
waarvan regeling in de UAVG volgens de indieners van de consultatiereacties wenselijk
wordt geacht. Het gegevensbeschermingsrecht is sterk in ontwikkeling en de interpretatie
van de AVG zelf is niet zelden aan verandering onderhevig, al dan niet in rechterlijke
uitspraken, ook van het Hof van Justitie. Die actualiteit maakt dat in toenemende
mate wensen naar voren komen voor wijziging of aanvulling van de UAVG. De aanstaande
evaluatie van de UAVG zal naar verwachting daaraan eveneens bijdragen. De meeste onderwerpen
worden nu niet meegenomen in dit wetsvoorstel.
Niet alle thema’s die naar voren gebracht zijn, kunnen hier genoemd worden, maar op
een aantal ervan wil de regering hier graag ingaan.
Buitengerechtelijke geschilinstanties
Onder meer de Stichting Klachten en Geschillen Zorgverzekering (SKGZ), maar ook andere
buitengerechtelijke geschilbeslechtingsinstanties merken op dat het onduidelijk is
of het voor hen is toegestaan, in het kader van bij hen aanhangig gemaakte juridische
procedures, bijzondere categorieën van persoonsgegevens te verwerken. Artikel 22,
tweede lid, onder e, UAVG en artikel 9, tweede lid, onder f, AVG regelen een uitzondering
op verwerkingsverbod voor het verwerken van bijzondere persoonsgegevens indien dat
noodzakelijk is voor de instelling, uitoefening of verdediging van de rechtsvordering
of wanneer de gerechten handelen in het kader van hun rechtsprekende taken. In de
verordening (en dus ook de UAVG) is in de Nederlandse vertaling het woord «instellen»
gebruikt. Hiermee wordt ook bedoeld rechtsvorderingen die zijn ingediend bij een buitengerechtelijke
geschilinstantie. Dit blijkt ook uit overweging 52 bij de AVG, waarin wordt gezegd
dat wordt voorzien in de mogelijkheid tot verwerking van die persoonsgegevens indien
dat noodzakelijk is voor de vaststelling, de uitoefening of de onderbouwing van een
rechtsvordering, in een gerechtelijke procedure dan wel in een administratieve of
buitengerechtelijke procedure. Bovendien gaf de Europese Commissie tijdens de onderhandelingen
aan, zo blijkt ook uit de brief aan de Kamer uit 201214 dat beoogd werd dat deze uitzondering zich ook uitstrekt tot nevengeschillen en bezwaarschriftprocedures.
Deze lezing wordt ook ondersteund door de officiële Engelse tekst van de verordening,
waarin de term «establishment of legal claims» wordt gebezigd. Het is daarom niet nodig een aparte voorziening te treffen voor gedingen
die gevoerd worden bij buitengerechtelijke geschilinstanties, omdat deze reeds vallen
onder de uitzondering van artikel 9, tweede lid, onder f, AVG en artikel 22, tweede
lid, onder e, UAVG.
3.5. Aanpassingen ten opzichte van de internetconsultatieversie
Hieronder worden een aantal aanpassingen die zijn ingevoegd in het voorliggende wetsvoorstel
besproken. De overige aanpassingen komen aan de orde in de artikelsgewijze toelichting.
Boetes aan overheden voor overtreding artikel 10 AVG
In het wetsvoorstel zoals dat in consultatie is gegaan, is een wijziging opgenomen
van artikel 18 UAVG, waarin de mogelijkheid werd geregeld om ook aan overheden een
boete te kunnen opleggen voor het maken van een inbreuk op artikel 10 AVG of artikel 31
UAVG. Naar aanleiding van reacties van de Politie en de Vereniging Nederlandse Gemeenten
(VNG) en nadere overweging is gebleken dat deze toevoeging niet noodzakelijk is, omdat
er op grond van artikel 17 UAVG reeds een boete kan worden opgelegd voor het maken
van een inbreuk door overheden op artikel 10 AVG of artikel 31 UAVG.
Klokkenluidersregeling
In de consultatiereactie was een wijziging voorzien in de Wet op de Klokkenluiders.
Deze wijziging is meegenomen in een eigen wijzigingsvoorstel van de Wet op de Klokkenluiders.15
Artikelsgewijze toelichting
ARTIKEL I. Uitvoeringswet Algemene verordening gegevensbescherming
Onderdeel A (artikel 1)
Op dit moment is in de definitie van het begrip «persoonsgegevens van strafrechtelijke
aard» mede begrepen persoonsgegevens betreffende een door de rechter opgelegd verbod
naar aanleiding van onrechtmatig of hinderlijk gedrag. De reden hiervoor was de wens
om de praktijk onder de Wet bescherming persoonsgegevens (Wbp) zoveel mogelijk voort
te zetten. De AP adviseert echter de definitie in artikel 1 in overeenstemming te
brengen met een uitspraak van het Hof Den Haag16, in die zin dat het begrip persoonsgegevens betreffende strafrechtelijke veroordelingen
en strafbare feiten in de zin van artikel 10 AVG een Unierechtelijk begrip is dat
autonoom moet worden uitgelegd. Er is geen mogelijkheid een eigen ruimere interpretatie
te geven aan dat begrip. Ook in een uitspraak van het Hof van Justitie van 22 juni
202117 wordt bevestigd dat het begrip persoonsgegevens van strafrechtelijke aard een autonoom
Unierechtelijk begrip is.
Gezien deze uitspraak van het Hof Den Haag, van het Hof van Justitie en de opvatting
van de AP wordt voorgesteld de toevoeging «mede begrepen persoonsgegevens betreffende
een door de rechter opgelegd verbod naar aanleiding van onrechtmatig of hinderlijk
gedrag» te laten vervallen. Dit betekent dat er voor die persoonsgegevens geen verwerkingsverbod
meer geldt, maar deze gereguleerd worden door het algemene kader van de AVG en de
UAVG. De regering acht dit verwerkingsverbod ook niet langer noodzakelijk, daar het
evenredigheidsbeginsel (proportionaliteit en subsidiariteit) in de artikelen 5 en
6, AVG ervoor zorgt dat met het toenemen van de gevoeligheid van persoonsgegevens,
de gebruiker van de gegevens meer waarborgen moet inbouwen rond de verwerking van
de persoonsgegevens. Het gaat naar het oordeel van de regering immers wel over gegevens
die verwantschap vertonen met gegevens betreffende strafrechtelijke feiten en dus
meer gevoelig zijn en de verwerkingsverantwoordelijke zal de verwerking van deze persoonsgegevens
met voldoende waarborgen moeten omkleden. Voor verboden die door de strafrechter worden
opgelegd, geldt dat deze nog steeds wel onder de reikwijdte van het begrip persoonsgegevens
van strafrechtelijke aard vallen, immers deze verboden zijn persoonsgegevens betreffende
strafrechtelijke veroordelingen. Verboden die uitgesproken worden door de civiele
of bestuursrechter vallen met dit voorstel niet direct meer onder het begrip persoonsgegevens
van strafrechtelijke aard, maar indien er door overtreding van het verbod een strafbaar
feit ontstaat, weer wel.
Nagegaan is in hoeverre aanpassing van deze definitie invloed heeft op verwijzingen
in andere wetgeving. Er blijkt slechts in de Wet marktordening gezondheidszorg een
verwijzing te staan naar gegevens betreffende hinderlijk en onrechtmatig gedrag, daarom
wordt voorgesteld ook deze definitie aan te passen (artikel X). In overige wetgeving
wordt doorgaans verwezen naar de definitie in de UAVG.
Onderdeel B (artikel 2)
De Wet raadgevend referendum is ingetrokken op 12 juli 2018.18 Dientengevolge dient de verwijzing naar deze wet in artikel 2 UAVG verwijderd te
worden.
Onderdeel C (artikel 3)
De in onderdeel B van artikel I van dit wetsvoorstel opgenomen wijziging van de UAVG
betreft een aanpassing van artikel 3, derde lid, UAVG. Onderdeel a van het derde lid
van artikel 3 bevat een regeling met betrekking tot de verwerking van persoonsgegevens
door de krijgsmacht in het kader van de inzet of het ter beschikking stellen van de
krijgsmacht ter uitvoering van de in artikel 97 van de Grondwet omschreven taken19. De onderhavige wijziging strekt ertoe om expliciet tot uitdrukking te brengen dat
aan dit artikel door middel van een besluit of een ministeriële regeling uitvoering
wordt gegeven door Onze Minister van Defensie.
Op het merendeel van de verwerkingen van persoonsgegevens door Defensie zijn de AVG
en de UAVG van toepassing. Alleen in geval van militaire operaties is er sprake van
een uitzonderingsituatie. Bepaalde delen van de (U)AVG zijn dan niet toepasbaar. Zo
is het begrijpelijk dat in een militaire operatie een lid van de vijandelijke partij
niet overeenkomstig de AVG in kennis wordt gesteld wanneer gegevens over hem worden
verwerkt. Ook zal duidelijk zijn dat tijdens militaire operaties geen gegevensbeschermingseffectbeoordeling
(ook wel Privacy Impact Assessment (PIA) genoemd) zal worden opgesteld.
De onmogelijkheid om in de hierboven genoemde gevallen de (U)AVG toe te passen, laat
zich bij iedere militaire operatie voelen. Het is dan ook aangewezen om buiten twijfel
te stellen dat aan artikel 3, derde lid, onderdeel a, uitvoering kan worden gegeven
door middel van een algemene voor missies geldende ministeriële regeling. Met de in
onderdeel C van artikel I van dit wetsvoorstel opgenomen wijziging wordt dit geëxpliciteerd.
De AP onderschrijft in haar advies van 11 november 2020 de wenselijkheid van deze
aanvulling. Met betrekking tot de mogelijkheid van uitzondering bij ad hoc besluit
adviseert de AP deze te schrappen of de wenselijkheid van handhaving ervan toe te
lichten. Naar aanleiding hiervan wordt opgemerkt dat algemene (voor iedere missie)
geldende uitzonderingen in de algemene regeling dienen te worden geregeld, maar dat
niet is uit te sluiten dat er voor een bepaalde missie wellicht nog aanvullende uitzonderingen
moeten worden gemaakt. Dan biedt een ad hoc-besluit meer maatwerk in de zin dat niet
een algemene regeling behoeft te worden aangepast. Bovendien zal (hoewel in beide
situaties het akkoord van de Minister van Defensie is vereist) de totstandbrenging
van een ad hoc-besluit naar verwachting sneller zijn gerealiseerd dan aanpassing van
de algemene regeling. Het is in dit licht wenselijk dat de uitzonderingsmogelijkheid
bij ad hoc besluit gehandhaafd blijft.
Onderdeel D (artikel 5)
Eerste onderdeel, wijziging eerste lid
In de AVG is in diverse artikelen de mogelijkheid opgenomen om toestemming te verlenen
voor het verwerken van persoonsgegevens. Zo is in artikel 6, eerste lid, onder a de
algemene grondslag toestemming opgenomen. In artikel 9, tweede lid, onder a, AVG is
opgenomen dat uitdrukkelijke toestemming gegeven kan worden om bijzondere categorieën
van persoonsgegevens te mogen verwerken. Ook voor het proces van geautomatiseerde
besluitvorming kan toestemming gegeven worden (artikel 22 AVG). Tot slot is instemming
mogelijk voor de doorgifte van bijzondere categorieën van persoonsgegevens naar een
derde land (artikel 49 AVG). In artikel 8 AVG is geregeld dat toestemming als bedoeld
in artikel 6, eerste lid onder a, AVG voor een rechtstreeks aanbod van diensten van
de informatiemaatschappij aan een kind, deze toestemming slechts rechtmatig is wanneer
het kind 16 jaar is. Onder de 16 jaar moet de wettelijk vertegenwoordiger toestemming
geven.
De aanpassing van het eerste lid van artikel 5 UAVG maakt duidelijk dat ook voor alle
andere vormen van toestemming dan bedoeld in artikel 8 AVG, aangeboden via het internet
of anderszins, wordt aangesloten bij de systematiek van artikel 8 AVG. Voor zover
er persoonsgegevens worden verwerkt waarvoor ingevolge de AVG toestemming gegeven
kan worden, kan deze toestemming vanaf 16 jaar worden verleend door het kind zelf
en voor kinderen jonger dan 16 jaren oud is vervangende toestemming of machtiging
tot toestemming vereist door de persoon die de ouderlijke verantwoordelijkheid voor
het kind draagt.
Tweede onderdeel, wijziging tweede lid
Om misverstanden te voorkomen is duidelijk gemaakt dat het tweede lid van toepassing
is op iedere toestemming op grond van de AVG. Dit omvat dus onder meer de hierboven
genoemde toestemmingen en de situaties waar artikel 8 AVG op ziet. Dat wil zeggen
dat als er sprake is van een rechtstreeks aanbod van diensten van de informatiemaatschappij
aan iemand die onder curatele is gesteld of aan een persoon ten behoeve wie bewind
of mentorschap is ingesteld, er vervangende toestemming van diens vertegenwoordiger
nodig is, voor zover het een aangelegenheid betreft waarvoor de betrokkene onbekwaam
dan wel onbevoegd is.
Derde onderdeel, wijziging derde lid.
Een jongere die 12 jaar of ouder maar nog geen 16 jaar is, zou niet afhankelijk moeten
zijn van een actie van zijn wettelijke vertegenwoordiger om een einde te kunnen maken
aan een verwerking van zijn eígen persoonsgegevens, ook al is deze gebaseerd op de
initiële toestemming van diens vertegenwoordiger. Deze nuancering is aangebracht mede
vanwege de discussie over de vraag in hoeverre jongeren zelf zeggenschap behoren te
hebben over hun gegevens en ook zij recht op privacy hebben. Indien een van de partijen,
hetzij de vertegenwoordiger, hetzij de jongere, van mening is dat er geen verwerking
van persoonsgegevens meer zou moeten plaatsvinden, kunnen beiden onafhankelijk van
elkaar besluiten om de toestemming in te trekken. De keuze voor een lagere leeftijdsgrens
dan de leeftijd van 16 jaar voor de toestemming is gebaseerd op de overweging dat
met de intrekking van toestemming de inbreuk op de privacy wordt verkleind. Immers,
door intrekking van de toestemming mogen de gegevens niet langer worden verwerkt.
Minderjarigen vanaf 12 jaar worden in staat geacht om een dergelijke beslissing zelf
te nemen. De leeftijd van 12 jaar wijkt af van de leeftijdsgrens van 13 jaar, die
in artikel 8 van de AVG wordt genoemd bij een rechtstreeks aanbod van diensten van
de informatiemaatschappij, maar sluit goed aan bij de keuze in het Nederlands recht
om kinderen vanaf 12 jaar deels zelf en vanaf 16 jaar geheel zelfstandig persoonlijke
keuzes te laten maken.20 Dit is in lijn met recent wetenschappelijk onderzoek.21 Indien een jongere in de leeftijdscategorie van 12 tot 16 jaar een toestemming heeft
ingetrokken, blijft het voor wettelijk vertegenwoordigers mogelijk om wederom toestemming
te verlenen. Het wordt onwenselijk geacht om interne gezinsverhoudingen op dit punt
nog verder te juridiseren. De hernieuwde toestemming betekent overigens niet dat de
gegevensverwerker deze gegevens ook moet verwerken. In de situatie van bijvoorbeeld
het plaatsen van een foto op een schoolwebsite, kan de school er na intrekking van
de toestemming van de minderjarige voor kiezen om deze foto niet te gebruiken ook
al verlenen de ouders later weer toestemming.
Het is aan de verwerkingsverantwoordelijke om hier zorgvuldig mee om te gaan en een
goede belangenafweging te maken, waarbij de wens van de minderjarige om geen toestemming
te verlenen zwaar meeweegt.
In geval van curatele, bewind of mentorschap kan slechts de vertegenwoordiger de toestemming
intrekken voor zover het een aangelegenheid betreft waarvoor de betrokkene onbekwaam
dan wel onbevoegd is.
Vierde onderdeel, wijziging vierde lid.
Voor kinderen onder de 12 geldt dat de wettelijk vertegenwoordiger de rechten van
de betrokkene in plaats van de betrokkene uitoefent. De wettelijke vertegenwoordiger
zal daarbij, bijvoorbeeld met betrekking tot een inzageverzoek, het recht op privacy
van diens kind of een andere door hem vertegenwoordigde betrokkene in acht moeten
nemen.
Voor betrokkenen in de leeftijd van twaalf jaren en ouder die de leeftijd van zestien
jaren nog niet hebben bereikt regelt de wijziging dat naast de vertegenwoordiger van
deze betrokkene ook de betrokkene zélf de rechten, bedoeld in hoofdstuk 3 AVG kan
uitoefenen als het over zijn eigen persoonsgegevens gaat. Dat neemt niet weg dat ook
de wettelijke vertegenwoordiger bijvoorbeeld een rectificatieverzoek als bedoeld in
artikel 16 AVG moet kunnen blijven indienen bij de verwerkingsverantwoordelijke namens
diens kind.
Het recht op privacy van een minderjarig kind wordt onder meer beschermd door artikel 16
van het Internationaal verdrag inzake de rechten van het kind. Het belang van bescherming
tegen inmenging in (digitale) correspondentie, zeker bij oudere kinderen, wordt door
het VN Kinderrechtencomité, UNICEF en andere mensenrechtenorganisaties benadrukt.
Ook op dit punt wordt het onwenselijk geacht om interne gezinsverhoudingen verder
te juridiseren, in die zin dat bepaald wordt wie hier voorrang heeft. Er ligt hier
een taak voor de wettelijke vertegenwoordiger, die in bepaalde gevallen het belang
van de adolescent zal moeten laten prevaleren ten opzichte van zijn eigen belang dat
van de wettelijk vertegenwoordiger.
Voor betrokkenen die onder curatele zijn gesteld, dan wel ten behoeve van wie bewind
of mentorschap is ingesteld, geldt dat de wettelijk vertegenwoordiger de rechten,
bedoeld in hoofdstuk 3 AVG uitoefent, voor zover het een aangelegenheid betreft waarvoor
de betrokkene onbekwaam dan wel onbevoegd is. Voor andere aangelegenheden oefent de
betrokkene deze rechten zelf uit.
In het bijzonder over de verhouding tot artikel 8:21 Awb is bij de internetconsulatie
opgemerkt dat wanneer de uitoefening van rechten door een jongere leidt tot een appellabel
besluit in de zin van de Awb, daarvoor het regime als beschreven in art 8:21 Awb geldt.
Het is dan aan de bestuursrechter om een inschatting te maken of de minderjarige in
staat is zijn belangen te behartigen.
Vijfde onderdeel, wijziging vijfde lid
In het vijfde lid wordt de toepassing van dit artikel uitgesloten voor hulp- en adviesdiensten
die rechtstreeks en kosteloos worden aangeboden aan een persoon ten behoeve van wie
een bewind of mentorschap is ingesteld.
Zesde lid
Met de toevoeging van dit artikellid wordt verduidelijkt dat artikel 5 UAVG de bijzondere
regeling in afdeling 5 van titel 7 van boek 7 van het Burgerlijk Wetboek (WGBO) inzake
het verstrekken van inlichtingen over de patiënt of het verstrekken van inzage of
afschrift van gegevens uit het medisch dossier aan anderen dan de patiënt en inzake
andere rechten van de patiënt met betrekking tot het medisch dossier ingeval de patiënt
een kind is of niet in staat kan worden geacht tot een redelijke waardering van zijn
belangen ter zake, onverlet laat.
De regeling in de WGBO is als volgt. Voor het verstrekken van inlichtingen over de
patiënt of het verstrekken van inzage of afschrift van gegevens uit het dossier aan
anderen dan de patiënt, is in beginsel toestemming van de patiënt vereist (artikel 457
van de WGBO). Indien het gaat om een kind onder de twaalf, is het aan de ouders of
voogd om te bepalen of deze toestemming al dan niet wordt te verleend. Indien de patiënt
ouder is dan 12 jaar, maar nog niet meerderjarig, en niet in staat kan worden geacht
tot een redelijke waardering van zijn belangen ter zake, is het ook aan de ouders
of voogd om deze toestemming al dan niet te verlenen. Indien een kind 12 jaar of ouder
is en wel in staat kan worden geacht tot een redelijke waardering van zijn belangen
ter zake, is het aan het kind zelf om te bepalen of toestemming wordt verleend. De
ouders of voogden spelen dan geen rol meer. Indien het gaat om een meerderjarige die
niet in staat kan worden geacht tot een redelijke waardering van zijn belangen ter
zake, zal in beginsel de curator of mentor moeten bepalen of toestemming wordt verleend.
Indien er geen sprake is van een curator of mentor, kan toestemming worden verleend
of geweigerd door een schriftelijk gemachtigde, of indien zodanige persoon ontbreekt,
de echtgenoot, de geregistreerde partner of andere levensgezel van de patiënt, tenzij
deze persoon dat niet wenst, dan wel, indien ook zodanige persoon ontbreekt, jegens
een ouder, kind, broer, zus, grootouder of kleinkind van de patiënt, tenzij deze persoon
dat niet wens. Dit alles volgt uit artikel 465 van de WGBO.
Dezelfde regeling geldt voor het uitoefenen van andere rechten omtrent het dossier
(zoals het opnemen van een verklaring (artikel 454 van de WGBO) of het vernietigen
van gegevens op verzoek van de patiënt (artikel 455 van de WGBO)).
Overigens hoeven de personen die in plaats van de patiënt al dan niet toestemming
verlenen zelf geen toestemming te hebben als zij toegang tot de informatie of gegevens
willen hebben.
De hulpverlener geeft geen informatie of gegevens aan derden, indien hij daarmee niet
geacht kan worden de zorg van een goed hulpverlener in acht te nemen.
Onderdeel E (artikel 7)
Op grond van artikel 54, eerste lid, onder b, AVG dienen de vereiste kwalificaties
en voorwaarden om als lid van de AP te kunnen worden benoemd door de lidstaten bij
wet te worden geregeld. Voor de voorzitter van de AP is op grond van artikel 7, vierde
lid, UAVG vereist dat deze moet voldoen aan de in artikel 5 van de Wet rechtspositie
rechterlijke ambtenaren gestelde eisen voor benoembaarheid tot rechter in een rechtbank.
Ter nadere implementatie van artikel 54, eerste lid, onder b, AVG voorziet het nieuw
voorgestelde vijfde lid van artikel 7 UAVG voorts in een grondslag om bij ministeriële
regeling nadere regels te stellen over de noodzakelijke kwalificaties waarover een
lid van de AP dient te beschikken alsmede overige nadere voorwaarden voor de benoeming
van alle leden van de AP. Daarbij kan worden gedacht aan benoemingseisen ten aanzien
van relevante ervaring, opleiding of achtergrond. En voor zover het de benoeming betreft
van een lid dat mede belast wordt met de portefeuille bedrijfsvoering: relevante ervaring
op dat gebied. Artikel 54, eerste lid, onder b, AVG bevat de woorden «bij wet», maar
omdat de AVG uitgaat van een zogenaamd «materieel wetgevingsbegrip»,22 laat dit artikel ruimte om in de UAVG een delegatiegrondslag voor het stellen van
andere regels op te nemen.
Op grond van artikel 54, eerste lid, onderdeel c, AVG worden de regels en procedures
voor de benoeming van de leden van de AP bij wet geregeld. Artikel 7, derde lid, UAVG
bepaalt dat de voorzitter, de andere leden en de buitengewone leden van de AP bij
koninklijk besluit op voordracht van de Minister voor Rechtsbescherming worden benoemd.
Ter nadere implementatie van artikel 54, eerste lid, onderdeel c, AVG voorziet het
nieuw voorgestelde vijfde lid van artikel 7 UAVG in een grondslag om bij ministeriële
regeling nadere regels te stellen ten aanzien van de benoemingsprocedure van de voorzitter
en andere leden van de AP. Daarbij moet bij voorbeeld worden gedacht aan een beschrijving
van de wijze waarop de vacaturestelling en selectie voorafgaand aan de voordracht
tot stand komen en de partijen die daarbij successievelijk betrokken zijn.
Zowel NL digital als Vereniging informaticarecht advocaten (VIRA) doen in hun consultatiereactie
een voorstel voor inhoudelijke benoemings- en/of kwalificatie-eisen. Aangezien het
huidige voorstel enkel een delegatiegrondslag bevat voor het stellen van voorwaarden
en het benoemen van kwalificaties, alsmede de procedure, zullen de suggesties worden
meegenomen bij de vaststelling van de ministeriële regeling daartoe. Voor zover de
Koninklijke Nederlandse Tennisbond (KNLTB) verzoekt om de gevolgen van disfunctioneren
of het niet langer voldoen aan de vereiste voorwaarden of kwalificaties te sanctioneren,
wordt verwezen naar artikel 8 UAVG, waarin daartoe aansluiting wordt gezocht bij de
Wet rechtspositie rechterlijke ambtenaren.
Onderdeel F (artikel 8)
Deze aanpassing is noodzakelijk, omdat de huidige verwijzingen naar de Wet rechtspositie
rechterlijke ambtenaren, zoals opgenomen in artikel 8 UAVG, technisch niet meer correct
zijn. Dit is het gevolg van de Wet van 27 juni 2018 tot wijziging van de Wet rechtspositie
rechterlijke ambtenaren en enige andere wetten in verband met de uitbreiding van de
mogelijkheden om ten aanzien van voor het leven benoemde rechterlijke ambtenaren disciplinaire
maatregelen op te leggen en tevens andere maatregelen te treffen (Stb. 2018, 298) (Wijzigingswet Wrra).
De nu voorgestelde wijziging beoogt technisch te regelen dat het regime zoals dat
voor rechtelijke ambtenaren geldt van overeenkomstige toepassing blijft op de, immers
eveneens onafhankelijke, voorzitter en andere leden van de AP.
Onderdeel G (artikel 22)
Met de rectificatie van de Nederlandse vertaling van de AVG van 19 april 201823 is in artikel 9, tweede lid, onderdeel f, AVG «rechtsbevoegdheid» vervangen door
«rechtsprekende taken». Artikel 22, tweede lid, onderdeel e, UAVG, waarin deze uitzondering
op het verwerkingsverbod van bijzondere categorieën van persoonsgegevens omwille van
de duidelijkheid en op advies van de Raad van State24 letterlijk is overgenomen, wordt derhalve overeenkomstig aangepast. Tevens is dit
onderdeel f van artikel 9, tweede lid, AVG overgenomen in artikel 32, onderdeel d,
UAVG.Daaromwordt voorgesteld om de formulering ook in dat artikel aan te passen (zie
onderdeel N).
Als weergegeven bij kamerbrief van 23 oktober 2012, is door de Commissie bevestigd
dat het gebruik van bijzondere persoonsgegevens in rechtsgedingen als bedoeld in artikel 9,
tweede lid, onder f, AVG, zich ook uitstrekt tot nevengeschillen en bezwaarschriftprocedures.25 Derhalve vallen bijvoorbeeld onderwijsgeschillen en geschillen van consumenten over
ziektekostenverzekeraars binnen het bereik van artikel 22 UAVG.
Met de rectificatie van de Nederlandse vertaling van de AVG van 4 maart 202126 is in artikel 9, tweede lid, onderdeel f, AVG «onderbouwing» vervangen door «verdediging».
Artikel 22, tweede lid, onderdeel e, UAVG, dient dus ook overeenkomstig te worden
aangepast.
Onderdeel H (artikel 23)
Het doel van het College voor de rechten van de mens (het College) is het beschermen
van de rechten van de mens, waaronder het recht op gelijke behandeling, en het bevorderen
van de naleving daarvan. In dat kader is een van de taken van het College het doen
van onderzoek naar de bescherming van de rechten van de mens. Daaronder valt ook het
doen van onderzoek of een onderscheid is of wordt gemaakt als bedoeld in de Algemene
wet gelijke behandeling; het gaat dan om gelijke behandeling van personen ongeacht
onder meer hun godsdienst, ras, nationaliteit en seksuele geaardheid. Ook kan het
College op grond van de Wet gelijke behandeling discriminatie op grond van handicap
of chronische ziekte onderzoeken. Het College kan deze onderzoeken op schriftelijk
verzoek doen, of uit eigen beweging onderzoeken of zodanig onderscheid stelselmatig
wordt gemaakt.
Inherent aan deze taken van het College is dat bijzondere categorieën van persoonsgegevens
verwerkt worden.27 Vanwege duidelijkheid en rechtszekerheid wordt voor het College voorzien in een meer
expliciete wettelijke basis om die bijzondere categorieën van persoonsgegevens te
mogen verwerken. Daarbij geldt uiteraard de in de bestaande tekst van artikel 23 opgenomen
clausulering dat deze verwerking alleen is toegestaan voor zover deze noodzakelijk
is voor de uitvoering van de wettelijk aan het College opgedragen taken.
Op grond van artikel 41 van de Kaderwet zelfstandige bestuursorganen moet een zelfstandig
bestuursorgaan op de voet van de ter zake voor de Rijksdienst geldende voorschriften
zorgdragen voor de nodige technische en organisatorische voorzieningen ter beveiliging
van zijn gegevens tegen verlies of aantasting en tegen onbevoegde kennisneming, wijziging
en verstrekking van die gegevens. In de praktijk geldt bij het College voor de beveiliging
van de computersystemen bijvoorbeeld dat gebruik wordt gemaakt van dezelfde vormen
van beveiliging van systemen en online-verbindingen als het Ministerie van Justitie
en Veiligheid. Voor de toegang tot systemen waarin mogelijk gevoelige gegevens van
personen opgeslagen liggen, worden dezelfde uitgangspunten gehanteerd die ook in de
rechtspraak worden gehanteerd. Dat betekent dat alleen Collegeleden, behandelend secretarissen
en medewerkers van de (oordelen)administratie toegang hebben tot die dossiers.
Onderdeel I (artikel 23a)
Het voorgestelde artikel 23a bevat een regeling voor de verplichte accountantsopdrachten
die in het vervolg van deze memorie van toelichting worden aangeduid als verplichte
opdrachten.28 Het betreft opdrachten die een entiteit op grond van een wettelijk voorschrift moet
laten uitvoeren door een accountant, zijnde een registeraccountant of een Accountant-Administratieconsulent.
De verplichte opdracht moet zijn voorgeschreven bij wettelijk voorschrift. Het gaat
bij een wettelijk voorschrift om een nationaal wettelijk voorschrift of een of een
verordening van een instelling van de Europese Unie.29 Een dergelijke verordening heeft immers op grond van artikel 288 van het Verdrag
betreffende de werking van de Europese Unie (VWEU) rechtstreeks bindende werking binnen
de Nederlandse rechtsorde. Voorbeelden van een nationaal wettelijk voorschrift zijn
een formele wet, een algemene maatregel van bestuur, een ministeriële regeling of
een verordening van een decentrale overheid.
De verplichte door de accountants uit te voeren opdrachten bestaan uit een grote variëteit
aan werkzaamheden zoals controles, beoordelings-, assurance,- en samenstellingsopdrachten.
Er was in diverse reacties op dit wetsvoorstel verzocht ook een grondslag op te nemen
voor verwerking van bijzondere persoonsgegevens en persoonsgegevens van strafrechtelijke
aard voor alle Assurance-opdrachten. De zorgvuldige belangenafweging leidt ertoe dat
de vrijwillige opdrachten van accountants geen rechtvaardiging vormen voor deze uitzondering.
Regeling in de UAVG
De verplichte accountantsopdrachten zijn verspreid over een groot aantal sectorspecifieke
wettelijke voorschriften zoals bijvoorbeeld de Gemeentewet, de Provinciewet, de Zorgverzekeringswet
en de Wet langdurige zorg. Het kan bij de bovenbedoelde wettelijke voorschriften ook
gaan om verordeningen van instellingen van de Europese Unie of van decentrale overheden.
Er bestaat voor de regeling van de (verplichte) accountantsopdrachten geen algemene
sectorspecifieke wet. De Wet op het accountantsberoep (Wab) regelt de aangelegenheden
met betrekking tot de NBA, het accountantsregister, de onderwerping van accountants
aan het tuchtrecht en de opleiding voor het accountantsberoep. De Wet toezicht accountantsorganisaties
(Wta) regelt de vereiste vergunning van de AFM voor accountantsorganisaties, haar
openbare register van vergunninghoudende accountantsorganisaties, verplichtingen voor
die organisaties en het toezicht op de naleving en de handhaving door de AFM. De voorgestelde
regeling voor verplichte accountantscontroles overstijgt kortom het belang van een
specifieke sector. De voorgestelde wijzigingen van de Wab (artikel 57) en van de Wta
(artikel 63aa) betreffen geen verplichte accountantsopdrachten maar het toezicht op
de naleving door de NBA respectievelijk de AFM. De regeling voor de verplichte accountantsopdrachten
krijgt gezien het bovenstaande op grond van het voorliggende wetsvoorstel, een plaats
in de UAVG.
Doel
De verplichte accountantsopdracht dient primair een grote variëteit aan belangen in
het maatschappelijk verkeer, die zich ook uitstrekt tot andere gebruikers dan de opdrachtgevers
voor die opdracht. Het gaat om het vertrouwen geven dat de stukken een getrouw beeld
van de werkelijkheid geven, en dat rechtmatig is gehandeld en daadwerkelijk bepaalde
activiteiten heeft verricht. Het gaat om de belangen van externe en interne toezichthouders,
medezeggenschapsorganisaties, werknemers, afnemers, beleggers en financiers. Het gaat
daarnaast om publieke belangen zoals de democratische controle, het ministerieel toezicht,
de vaststelling van subsidies en het toezicht op de naleving door toezichthouders
of de samenleving als zodanig.30 De accountants vervullen met de verplichte accountantsopdrachten een taak van zodanig
groot algemeen belang dat bij wettelijk voorschrift is verzekerd dat die taak ook
wordt uitgevoerd. De verwerkingen in het kader van bij wettelijk voorschrift verplichte
accountantsopdrachten geschieden dan ook om redenen van zwaarwegend algemeen belang
als bedoeld in artikel 9, tweede lid, onderdeel g, AVG. Een dergelijk belang ontbreekt
bij verwerkingen in het kader van vrijwillige accountantsopdrachten.
Noodzaak verwerking persoonsgegevens
De accountant moet voor het uitvoeren van een verplichte opdracht persoonsgegevens
verwerken. Dit geldt eveneens voor de leden van het controleteam van de accountant.
Zonder de soms noodzakelijke verwerking van persoonsgegevens, waaronder in voorkomende
gevallen ook bijzondere categorieën van persoonsgegevens, kan de accountant geen gevalideerde
uitspraken doen over het getrouwe beeld, het rechtmatig handelen of het voldaan hebben
aan bepaalde wet- en regelgeving. De accountants zullen bij hun opdrachten de verwerking
van persoonsgegevens (veelal) beperken tot casusposities die zij op basis van een
door hen getrokken representatieve steekproef hebben geselecteerd. Die zijn representatief
voor het desbetreffende geheel aan casus voor de accountantsopdracht. De accountant
trekt op basis van zijn bevindingen bij de geselecteerde casusposities conclusies
over het geheel.
De accountants moeten voor uitgevoerde verplichte controles controledossiers aanleggen.
De controledossiers bevatten ook bij verplichte controles de verwerkte persoonsgegevens.
De kwaliteitsborging van accountantskantoren en accountantsafdelingen en de naleving
van de op de accountantscontrole van toepassing zijnde voorschriften door de accountant
en het toezicht door de AFM en NBA hierop, vereisen de kennisneming van de aangelegde
controledossiers met bij de verplichte controles verwerkte persoonsgegevens. Het doen
van gevalideerde uitspraken over de kwaliteit van de uitgevoerde verplichte controles
maakt de verwerking van persoonsgegevens derhalve eveneens noodzakelijk.
AVGAVG en het doel van het voorgestelde artikel 23a
Er geldt voor de categorieën van bijzondere persoonsgegevens als bedoeld in artikel 9,
eerste lid, AVGAVG, echter een verwerkingsverbod met een limitatief aantal uitzonderingen.31 Bij het uitvoeren van bij wettelijk voorschrift verplicht gestelde opdrachten kunnen
accountants genoodzaakt zijn diverse bijzondere categorieën van persoonsgegevens te
verwerken in de zin van artikel 9 AVG. Hierbij kunnen ook gezondheidsgegevens aan
de orde zijn, bijvoorbeeld bij controleverklaringen bij zorginstellingen of in het
(speciaal) onderwijs. Denk daarbij aan leerwegondersteunend onderwijs of bekostiging
van nieuwkomers.
Naar het oordeel van de regering is er in geval van bij wettelijk voorschrift verplicht
gestelde opdrachten aan accountants sprake van een zwaarwegend algemeen belang en
daarom wordt in het voorgestelde artikel 23a voor deze gevallen een grondslag voor
verwerking van deze bijzondere persoonsgegevens opgenomen.
Inhoud van het voorgestelde artikel 23a, eerste lid
Het eerste lid regelt dat verwerking van bijzondere categorieën van persoonsgegevens
kan plaatsvinden voor zover die verwerking noodzakelijk is voor een bij wettelijk
voorschrift verplicht gestelde opdracht. Een dergelijke opdracht wordt uitgevoerd
door een accountant. Dit kan, afhankelijk van wat hierover in het wettelijk voorschrift
is bepaald, een registeraccountant of een Accountant-Administratieconsulent (al dan
niet met aantekening in het accountantsregister) zijn. In artikel 23a wordt volstaan
met begrip «accountant» omdat uit artikel 41, eerste en tweede lid, Wab voortvloeit
dat alleen registeraccountants of een Accountant-Administratieconsulenten gerechtigd
zijn de benaming accountant te voeren.
Bij sommige verplichte controles bestaat er ook een wettelijke verplichting om een
zogenoemde opdrachtgerichte kwaliteitsbeoordeling (okb) te laten uitvoeren door een
andere accountant. Hierbij gaat deze accountant na of de accountant die de controle
uitvoert redelijkerwijs tot het oordeel en de conclusies kan zijn gekomen die zijn
verwoord in het ontwerp van de controleverklaring (artikel 8 van Verordening (EU)
nr. 537/2014 van het Europees Parlement en de Raad van 16 april 2014 betreffende specifieke
eisen voor de wettelijke controles van financiële overzichten van organisaties van
openbaar belang en tot intrekking van Besluit 2005/909/EG van de Commissie (PbEU 2014,
L 158) en artikel 18 van het Besluit toezicht accountantsorganisaties). De noodzakelijke
verwerking van bijzondere categorieën persoonsgegevens door de accountant die de okb
uitvoert valt eveneens onder dit artikel.
Inhoud van het voorgestelde artikel 23a, tweede lid
Soms zijn de te controleren instanties gebonden aan het medisch beroepsgeheim.32 De verwerkingsverantwoordelijke accountant is ook een derde en mag dus geen informatie
over de patiënt ontvangen die aan die patiënt kan worden gekoppeld. Het voorgestelde
artikel 23a, tweede lid, regelt dat de te controleren instantie de persoonsgegevens
eerst pseudonimiseert als bedoeld in AVG33 voordat de verwerking voor de verplichte accountantscontrole aanvangt. De pseudonimisering
behoort daarmee tot de verplichtingen en verantwoordelijkheden van de te beoordelen
instantie. Pseudonimisering houdt in dat de persoonsgegevens niet door de accountant
aan een specifieke betrokkene kunnen worden gekoppeld zonder het gebruik van aanvullende
gegevens. De te controleren instantie moet deze aanvullende gegevens apart bewaren
en de nodige technische en organisatorische maatregelen treffen om koppeling aan specifiek
betrokkene door de accountant te voorkomen. Het eerste lid bepaalt daartoe dat de
pseudonimisering onafgebroken moet worden gecontinueerd om te bewerkstelligen dat
de accountant nooit beschikt over de sleutels/middelen waarmee hij de betrokkene kan
identificeren. Hierdoor kan de accountant de natuurlijke persoon waarop de persoonsgegevens
betrekking hebben, de betrokkene, niet identificeren, maar de accountant kan wel vaststellen
dat persoonsgegevens betrekking hebben op eenzelfde persoon zonder te weten wie het
betreft. Door slechts gepseudonimiseerde persoonsgegevens te ontvangen, kan de accountant
zich geen oordeel vormen over de gezondheidstoestand van betrokkenen en wordt het
medisch beroepsgeheim niet op ontoelaatbare wijze geschonden. Dit wordt ook bevestigd
in de consultatiereactie van de AP.
De verplichte onafgebroken pseudonimisering geldt op basis van het voorgestelde artikel 23a,
tweede lid, ook voor te controleren instanties zonder medisch beroepsgeheim, die wel
medische persoonsgegevens verwerken, zoals bijvoorbeeld zorgverzekeraars, andere ziekteverzekeraars,
en Wlz-uitvoerders.
Passende waarborgen voor verwerking
De passende waarborgen bij de verwerking van bijzondere categorieën van persoonsgegevens
bestaan in de eerste plaats uit de op grond van artikel 5, eerste lid, onderdeel c,
AVG, verplichte dataminimalisatie. De accountants zullen bij hun opdrachten de verwerking
van persoonsgegevens (veelal) beperken tot casusposities die zij op basis van een
door hen getrokken representatieve steekproef hebben geselecteerd. De passende waarborgen
bestaan in de tweede plaats uit de verplichte pseudonimisering van persoonsgegevens
die onder het medisch beroepsgeheim vallen of hebben gevallen. De passende waarborgen
bestaan in de derde plaats uit de technische en organisatorische maatregelen die een
accountant als verwerkingsverantwoordelijke treft om te waarborgen dat de verwerking
in overeenstemming is met de AVG. De NBA ondersteunt de accountants met het geven
van richtlijnen daarbij. De accountants moeten zich tenslotte houden aan de beroepsregels
van de NBA die borgen dat de accountants de fundamentele beginselen van o.a. zorgvuldigheid
en geheimhouding in acht nemen.
Onderdeel J (artikel 28)
Het onderwerp van artikel 28, genetische gegevens, is strikt gereguleerd. Op grond
van artikel 9, vierde lid, AVG, kunnen lidstaten bijkomende voorwaarden, waaronder
beperkingen, invoeren als het dergelijke gegevens betreft. Om duidelijk te maken dat
de wetgever hier gebruik van heeft gemaakt, wordt gerefereerd aan het desbetreffende
artikellid in de AVG dat de ruimte laat voor nationaal recht om iets aanvullends (in
casu strenger) te regelen. Het is kortom, in andere gevallen dan waar het eerste lid
op ziet, uitsluitend toegestaan genetische gegevens te verwerken indien aan de in het tweede lid opgenomen
voorwaarden a of b is voldaan. Dat wil zeggen dat de verwerking niet kan worden gebaseerd
op enige andere normaal geldende uitzondering op het verbod van artikel 9, eerste
lid, AVG. De uitzondering geldt bijvoorbeeld niet voor familieleden in de genetische
lijn, zelfs niet indien zij daar uitdrukkelijk toestemming voor zouden hebben gegeven;
de normale uitzonderingen zoals opgenomen in het tweede lid van artikel 9 AVG zijn
door het gebruik van het woord «uitsluitend» in deze specifiek situatie derhalve niet
van toepassing.
Nu gebruik wordt gemaakt van de mogelijkheid tot beperking die artikel 9, vierde lid,
AVG aan de nationale wetgever biedt, wordt met de voorgestelde wijziging de gekozen
wetssystematiek in de UAVG, waarin deze ruimte telkens expliciet wordt benoemd («gelet
op»), consequent doorgevoerd. Materieel gezien wijzigt er niets.
Onderdeel K (artikel 29)
Op grond van artikel 29 is het verbod om biometrische gegevens te verwerken met het
oog op de unieke identificatie van een persoon niet van toepassing, indien de verwerking
noodzakelijk is voor authenticatie of beveiligingsdoeleinden. Artikel 9, tweede lid,
onderdeel g, AVG maakt het mogelijk om bij lidstatelijk recht een dergelijke uitzondering
te maken op het verbod om biometrische gegevens te verwerken indien de verwerking
noodzakelijk is om «redenen van zwaarwegend algemeen belang».
Met het in de wettekst opnemen van de eis dat bij het gebruik maken van deze wettelijke
uitzondering, het noodzakelijk is ook nog in het concrete geval te toetsen aan het
bedoelde zwaarwegend algemeen belang, wordt in een extra waarborg voorzien. In de
rechtspraktijk zal een verwerkingsverantwoordelijke nu telkens zelf actief moeten
toetsen of ook in het specifieke geval wel aan het vereiste «noodzakelijk voor een
zwaarwegend algemeen belang» is voldaan, voordat een beroep op de uitzondering kan
worden gedaan. Deze afweging zal vervolgens door de AP en uiteindelijk ook door de
rechter kunnen worden beoordeeld.
In de toelichting bij dit artikel bij de invoering van de UAVG, werd reeds als voorbeeld
van een zwaarwegend algemeen belang de toegang tot een kerncentrale gegeven in tegenstelling
tot de toegang van een garage van een reparatiebedrijf. De beveiliging van een kerncentrale
is natuurlijk een aansprekend voorbeeld van een zwaarwegend algemeen belang. Maar
ook het beschermen van de volksgezondheid, het voorkomen van milieuschade of het beveiligen
van vitale processen kunnen redenen zijn waarmee aan de eis van zwaarwegend algemeen
belang wordt voldaan. Naast het reeds genoemde voorbeeld van een kerncentrale, kan
bij controle op toegangsbevoegdheden op vitale, gevoelige of gevaarlijke locaties,
gedacht worden aan bedrijven en/of diensten uit de vitale infrastructuur (zoals telecomcentrum,
beheercentrum energie-infra), aanbieders van essentiële diensten en voor digitale
dienstverleners (NIS-Richtlijn34), bedrijven of gebieden met veiligheidsrisico’s zoals bedrijven met veel risico’s
op zware ongevallen door de aanwezigheid van grote hoeveelheden gevaarlijke stoffen
die onder het Besluit risico’s zware ongevallen35 vallen en lucht- en zeehavens. Voor de goede orde wordt opgemerkt dat het niet alleen
gaat om toegang tot gebouwen maar ook om toegangsbeveiliging van randapparatuur (laptop,
telefoon e.d.) voor authenticatiedoeleinden ter beveiliging van systemen en netwerken.
Er zal in ieder geval een belang gediend moeten worden dat uitstijgt boven louter
reguliere bedrijfs- of organisatiebelangen (als efficiëntie of kostenbesparing), wil
een verwerkingsverantwoordelijke een beroep op deze uitzondering kunnen doen.
Met de dubbele noodzakelijkheidstoets (noodzakelijk voor de authenticatie of beveiligingsdoeleinden
én noodzakelijk omwille van een zwaarwegend algemeen belang) wordt invulling gegeven
aan de eis van artikel 9, tweede lid, onderdeel g, AVG, die passende en specifieke
maatregelen vergt ter bescherming van grondrechten en de fundamentele belangen van
betrokkene.
Naast het benoemen van het criterium van het zwaarwegend algemeen belang in de wettekst
wordt tevens voorgesteld om ook de doelbeperking expliciet te maken, namelijk de rechtmatige
toegang tot bepaalde plaatsen, gebouwen, diensten, producten, informatie- of werkprocessystemen.
De voorgestelde aanvullingen van artikel 29 dragen bij aan de rechtszekerheid bij
het verwerken van biometrische gegevens voor genoemde doeleinden en kunnen daarmee
de gewenste duidelijkheid bieden, een punt van aandacht dat door VNO-NCW en MKB-Nederland
in consultatie naar voren is gebracht. Een en ander laat de toepassing van biometrische
identificatiemiddelen onverlet in omstandigheden waarin toestemming in vrijheid kan
worden gegeven. Gezien de afhankelijke werkgever-werknemer relatie is van in vrijheid
gegeven toestemming in deze context sprake als werknemers alternatieve toegangsmogelijkheden
worden geboden (denk aan het gebruik van een wachtwoord en/of een token) en waarbij
deze geen druk ervaren om te kiezen voor biometrische identificatiemiddelen.
Onderdeel L (artikel 30)
Het voorstel om in de aanhef van het derde lid van artikel 30 een referentie toe te
voegen naar onderdeel g van het tweede lid van artikel 9 van de AVG, vindt zijn grondslag
in het feit dat niet enkel verplichte zorgverzekeraars zich op de uitzondering van
onderdeel b van het derde lid kunnen beroepen (daarin is voorzien in de al bestaande
referentie aan onderdeel h van artikel 9, tweede lid, van de AVG), maar dat ook andere
typen verzekeraars een beroep kunnen doen op deze uitzondering. Te denken valt aan
aanbieders van levensverzekeringen, herverzekeringen, ongevallenverzekeringen, overlijdensrisicoverzekeringen
en schadeverzekeringen. De36 mogelijkheid om in het nationale recht een uitzondering te maken op het verbod om
persoonsgegevens over de gezondheid te verwerken, is voor deze laatste categorieën
verzekeringen gebaseerd op de ruimte die de AVG daartoe biedt in artikel 9, tweede
lid, onderdeel g. Derhalve wordt voorgesteld om, conform de gehanteerde systematiek
in de UAVG, deze ruimte («gelet op») in de aanhef van dit artikellid expliciet te
benoemen.
Onderdeel M (artikelen 30a en 30b)
In het belang van een goede hulpverlening zijn hulpverleners op grond van artikel 454
van boek 7 van het Burgerlijk Wetboek (hierna: BW) verplicht om een medisch dossier
in te richten, bij te houden en te bewaren.37 De bewaarplicht geldt voor twintig jaar vanaf de laatste wijziging in het dossier.
Met het bewaren van een medisch dossier wordt bijvoorbeeld kennis verkregen van eerdere
ziekten, correlaties tussen eerder doorgemaakte ziekten of een ondergane behandeling
en latere ziekte of behandeling. Zo blijken gegevens over een behandeling in de vroege
jeugd vaak nuttig voor een goede hulpverlening op latere leeftijd.38
De hulpverlener die het dossier inricht, bijhoudt en bewaart, zorgt ook voor het beheer
van het dossier. Dit betekent dat de hulpverlener ervoor zorgt dat een patiënt zijn
rechten met betrekking tot zijn medisch dossier kan uitoefenen. Bij het uitoefenen
van deze rechten kan een voorafgaand oordeel van de hulpverlener nodig zijn.39 Daarnaast zal bij de uitoefening van deze rechten ook vaak begeleiding van de hulpverlener
nodig zijn. Bijvoorbeeld in het geval dat inzage wordt gevraagd, maar de medische
informatie te complex is om te begrijpen zonder medische achtergrond. Het vellen van
de vereiste oordelen en het geven van de noodzakelijke begeleiding zijn integraal
onderdeel van het beheer van de dossiers.
De plicht voor de hulpverlener om een medisch dossier te bewaren is naar zijn aard
en strekking niet gekoppeld aan het behoud van de status van hulpverlener. Dat betekent
dat deze verplichting blijft gelden in geval van bijvoorbeeld faillissement, pensionering
of overlijden van een hulpverlener. Het blijft dan ook de verantwoordelijkheid van
de hulpverlener (die ook een rechtspersoon kan zijn40) om ervoor te zorgen dat de dossiers gedurende de voorgeschreven bewaartermijn worden
bewaard en beheerd.
Wanneer de hulpverlener de dossiers niet zelf kan of wil bewaren en beheren (bijvoorbeeld
in geval van pensionering), zal de hulpverlener moeten borgen dat deze taken worden
overgedragen aan een (rechts)persoon op wie eveneens een geheimhoudingsplicht rust, zijnde een hulpverlener,
instelling of voorziening voor gezondheidszorg of maatschappelijke dienstverlening
(hierna: hulpverlener of hulpverlenende instelling). Soms is echter niet goed geregeld
dat de verantwoordelijkheid voor het beheren en bewaren van het medisch dossier wordt
overgenomen door een andere hulpverlener, en komen de dossiers in handen van bijvoorbeeld
een curator (in geval van faillissement) of erfgenaam of een in het testament aangewezen
executeur (in geval van overlijden). Er zal dan alsnog een andere hulpverlener of
hulpverlenende instelling bereid gevonden moeten worden die deze taken op zich wil
nemen. In geval van doorstart bij een faillissement is dat bijvoorbeeld de overnemende
(rechts)persoon.
Recent is gebleken dat er onduidelijkheden bestaan over de vraag of het overdragen
van medische dossiers door een hulpverlener of een ander dan een hulverlener (zoals
een curator41, erfgenaam of in het testament genoemd executeur) aan een andere (rechts)persoon
met het oog op de bewaarplicht en het bijbehorende beheer voldoet aan de eisen die
de AVG en het medisch beroepsgeheim daaraan stelt. Met de voorgestelde artikelen 30a
en 30b UAVG (nieuw) wordt beoogd deze onduidelijkheden weg te nemen.
Deze bepalingen zijn onder meer door inbreng van diverse partijen in de internetconsultatie
meer generiek van aard geworden. Inbreng van partijen (met name van KNMG, die aangaf
dat in de praktijk op dit moment bij overname niet vooraf toestemming aan patiënten
wordt gevraagd, maar dat de patiënten worden geïnformeerd en bezwaar kunnen indienen)
heeft er ook toe geleid dat het uitgangspunt van toestemming van de patiënt bij overdracht
van medische dossiers in de hierboven toegelichte situatie is losgelaten. De overwegingen
die hieraan ten grondslag liggen zijn, zijn de volgende. Het vooraf vragen om toestemming
voor overdracht van dossiers met het oog op het bewaren en beheren van dossiers is
vaak ondoenlijk (vaak gaat het om een behoorlijk volume aan verouderde dossiers) of
bezwaarlijk (het kan gaan om situaties waarin het zeer vervelend zou zijn als medische
gegevens per ongeluk bij derden terecht zouden komen). Patiënten hebben er echter
een groot belang bij dat medische dossiers worden bewaard en beheerd. Zoals hierboven
aangegeven, kunnen medische gegevens van belang zijn bij het verkrijgen van kennis
van eerdere ziekten, correlaties tussen eerder doorgemaakte ziekten of een ondergane
behandeling en latere ziekte of behandeling. In de huidige praktijk worden patiënten
door hulpverleners geïnformeerd en gewezen op hun rechten wanneer dossiers worden
overgedragen aan een opvolger, maar wordt niet vooraf expliciet om toestemming gevraagd.
Niet is gebleken dat dit tot grote bezwaren leidt, omdat patiënten door deze informatie
hun rechten kunnen uitoefenen. Dientengevolge is geconcludeerd dat onder voorwaarden
zonder toestemming met het oog op het bewaren en beheren van dossiers mag worden overgedragen.
De AP heeft advies uitgebracht op de versie die ook in internetconsultatie heeft voorgelegen.
In die versie was geen uitzondering op het medisch beroepsgeheim opgenomen. De AP
heeft geadviseerd om in het wetsvoorstel een doorbrekingsgrond voor het medisch beroepsgeheim
op te nemen voor gevallen waarin toestemming niet op de gebruikelijke manier verkregen
kan worden. Aan het advies van de AP is gehoor gegeven. Daarbij is wel relevant dat
het uitgangspunt van (uitdrukkelijke) toestemming is losgelaten, onder andere naar
aanleiding van de inbreng van de internetconsultatie. De overwegingen die hier aan
ten grondslag hebben gelegen, zijn hierboven benoemd.
Gegevensbeschermingseffectbeoordeling
Gezien de aard van de voorgestelde bepalingen is in de fase van beleidsontwikkeling
een gegevensbeschermingseffectbeoordeling uitgevoerd ten aanzien van de artikelen 30a
en 30b. Met behulp hiervan is de noodzaak onderzocht van de voorgenomen verwerking
van persoonsgegevens en zijn op gestructureerde wijze de gevolgen en risico’s van
de maatregelen en het systeem voor gegevensbescherming in kaart gebracht. Hierbij
is in het bijzonder aandacht besteed aan de beginselen van transparantie, gegevensminimalisering,
doelbinding, het vereiste van een goede beveiliging en de rechten van de betrokkenen.
Uit de gegevensbeschermingseffectbeoordeling volgt dat de voorgestelde bepalingen
voor gegevensverwerking enkele risico’s met zich brengen voor de rechten van de betrokkenen.
De kans dat deze risico’s zich voordoen worden echter gering geacht en bovendien zoveel
mogelijk gemitigeerd. De belangrijkste risico’s zijn:
– het risico dat tegen de wil van de patiënt het medisch dossier wordt overgedragen.
Dit risico wordt zoveel mogelijk gemitigeerd door in het wetsvoorstel te bepalen dat
tijdig zo breed mogelijke kenbaarheid moet worden gegeven aan de overdracht. Dit kan
bijvoorbeeld door berichtgeving middels verschillende kanalen (zoals door huisartsen
in de omgeving van de hulpverlener van wie de verantwoordelijkheid voor het beheren
en bewaren van het medisch dossier is overgenomen). Bij ministeriële regeling kunnen
nadere regels worden gesteld om te borgen dat de patiënt tijdig weet van de overdracht
en zijn rechten kan uitoefenen; en
– het risico dat er onvoldoende kennis is bij de derde die de bewaarplicht en het bijbehorende
beheer overneemt, of dat het bewaren of beheren anders wordt uitgevoerd dan was beoogd.
Dit risico is gering vanwege de bestaande wet- en regelgeving voor het bewaren en
beheren van medische dossiers. Bovendien wordt het risico gemitigeerd doordat bij
ministeriële regeling regels kunnen worden gesteld die borgen dat op een correcte
manier uitvoering wordt gegeven aan de AVG en dat de persoonsgegevens voldoende beschermd
worden.
Artikel 30a, eerste en vierde lid, artikel 30b, eerste lid, en artikel 30b, tweede
lid, in samenhang met artikel 30, vierde lid en artikel 30a, vierde lid
Persoonsgegevens in medische dossiers zijn gegevens over de gezondheid en mogen slechts
worden verwerkt indien daarvoor bij Unierecht of lidstaatrechtelijk recht een uitzondering
is gemaakt42. In artikel 30, derde lid, UAVG wordt een uitzondering geregeld. In artikel 30a,
eerste lid, wordt deze invulling uitgewerkt. Artikel 30b, eerste lid, betreft een
invulling op deze uitzondering.
In de artikelen 30a, eerste lid, onder a, en 30b, eerste lid, wordt verduidelijkt,
respectievelijk geregeld dat het verbod om gezondheidsgegevens te verwerken niet van
toepassing is als het gaat om het overdragen van medische dossiers met het oog op
de bewaarplicht en het bijbehorende beheer aan een andere hulpverlener of hulpverlenende
instantie die deze taak op zich neemt. In artikel 30a, eerste lid, onder b, wordt
verduidelijkt dat het verbod om gezondheidsgegevens te verwerken niet van toepassing
is op de hulpverlener of hulpverlenende instantie die de medische dossiers met het
oog op die bewaarplicht bewaart en beheert.
Deze bepalingen brengen concreet met zich dat de overdracht van medische dossiers
en het bewaren en beheren daarvan met het oog op de bewaarplicht en het bijbehorende
beheer zonder toestemming van de betrokkene is toegestaan. Op de personen die de dossiers
overdragen of bewaren en beheren rust een geheimhoudingsplicht.43 Voor hulpverleners en hulpverlenende instellingen is dit geregeld in artikel 30,
vierde lid, UAVG en voor anderen dan hulpverleners (zoals curatoren of erfgenamen)
in artikel 30b, tweede lid, (nieuw). Schending van een geheimhoudingsplicht is strafbaar
op grond van artikel 272 van het Wetboek van Strafrecht. Met de geheimhoudingsplicht
wordt geborgd dat zorgvuldig met de medische gegevens wordt omgegaan. Artikel 9, derde
lid, AVG stelt dit bovendien als eis om een uitzondering als bedoeld in artikel 9,
tweede lid, onder h, te kunnen gebruiken.
De voorgestelde wettelijke uitzonderingen op het verbod om gezondheidsgegevens te
verwerken zien op de overdracht en het bewaren en beheren van zowel gesloten dossiers
(de geneeskundige behandeling is afgerond) als lopende dossiers (de geneeskundige
behandeling is nog niet afgerond). In het geval van lopende dossiers gaan de dossiers
naar de opvolgende hulpverlener of hulpverlenende instelling. Dit kan bijvoorbeeld
een hulpverlener zijn die de praktijk na pensionering van de oorspronkelijke hulpverlener
overneemt, de overnemende hulpverlenende instantie bij doorstart bij faillissement
of de hulpverlener bij wie een individuele patiënt terechtkomt nadat bijvoorbeeld
een hulpverlener overlijdt of een hulpverlenende instelling failliet gaat. Ook gesloten
dossiers komen in beginsel terecht bij de opvolgende hulpverlener of hulpverlenende
instantie. Het ligt immers voor de hand dat in geval van pensionering of in geval
van doorstart bij faillissement de overnemende (rechts)persoon niet alleen de patiënten
(en lopende dossiers) overneemt, maar ook de gesloten dossiers. Bij ontstentenis van
een opvolgende hulpverlener of hulpverlenende instantie is het van belang dat een
andere hulpverlener of hulpverlenende instantie wordt gevonden om deze afgesloten
medische dossiers te bewaren en beheren. Dit was bijvoorbeeld het geval in de situatie
die zich voortdeed bij de afwikkeling van het faillissement van het MC Slotervaart,
waar het Universitair Medisch Centrum Utrecht bereid was de medisch dossiers over
te nemen.
Om te borgen dat op een correcte manier uitvoering wordt gegeven aan de AVG en persoonsgegevens
goed worden beschermd, kunnen bij ministeriële regeling nadere eisen worden gesteld.
Gedacht kan worden aan het stellen van regels voor de werkprocessen over de methode
van overdracht en over de werkprocessen omtrent de bewaarplicht en het bijbehorende
beheer.
Voor het overdragen van bijzondere persoonsgegevens is niet alleen een uitzondering
op het algemene verbod van artikel 9, eerste lid, AVG vereist, maar ook een grondslag
in de zin van artikel 6 van de verordening.
Bij het overdragen van medische dossiers naar een andere (rechts)persoon met het oog op het bewaren en beheren van dossiers en het bewaren en beheren
van die medische dossiers door een ander dan de oorspronkelijke hulpverlener is in
ieder geval sprake van een grondslag als bedoeld in artikel 6, eerste lid, onder c,
AVG. Immers, het bewaren van medische dossiers betreft een wettelijke plicht (artikel 454
van boek 7 van het BW).
Wat betreft de overdracht van dossiers bij faillissement heeft het gerechtshof Arnhem-Leeuwarden
geoordeeld dat het in ieder geval tot de taak van de curator behoort om in eerste
instantie medische dossiers te bewaren en zo nodig en mogelijk een ordelijke overdracht
van deze dossiers aan een opvolgende hulpverlener te realiseren.44 Dit leidt ertoe dat bij overdracht van medische dossiers naar een andere (rechts)persoon
in de hierboven omschreven situatie door curatoren ook sprake is van een grondslag
als bedoeld in artikel 6, eerste lid, onder e, AVG, omdat verwerking noodzakelijk
is voor de uitoefening van de taak van algemeen belang die de curator uitvoert op
basis van de Faillissementswet.45 Volledigheidshalve wordt nog opgemerkt dat in de hierboven genoemde uitspraak het
gerechtshof Arnhem-Leeuwarden vaststelt dat een curator geen recht op inzage in medische
dossiers heeft.
In geval van overlijden van de hulpverlener geldt dat een erfgenaam die door het aanvaarden
van de nalatenschap medische gegevens onder zich krijgt, zich zal kunnen baseren op
de grondslag «gerechtvaardigd belang» als bedoeld in artikel 6, eerste lid, onderdeel f,
AVG op het moment dat hij deze dossier overdraagt aan een opvolgende hulpverlener
of hulpverlenende instantie op wie het medisch beroepsgeheim rust.
Artikel 30a, tweede, derde en vierde lid en artikel 30b, tweede lid, in samenhang
met artikel 30a, derde en vierde lid
In artikel 30a, tweede lid, wordt een informatieplicht opgelegd aan hulpverleners
die medische dossiers met het oog op het bewaren en beheren daarvan overdragen aan
een andere hulpverlener of hulpverlenende instelling (zonder toestemming van de patiënt).
Dit sluit aan bij de huidige praktijk en wordt geacht passend te zijn gezien de gevoeligheid
van de gegevens.
Voor anderen dan de oorspronkelijke hulpverlener (zoals curatoren of erfgenamen) – die
dossiers in handen krijgen omdat de verantwoordelijkheid voor het beheren en bewaren
van het medisch dossier vooraf niet goed is geregeld – en voor de hulpverlener of
hulpverlenende instelling die medische dossiers in plaats van de oorspronkelijke hulpverlener
of hulpverlenende instantie gaat bewaren en beheren, geldt op grond van artikel 14
AVG ook een informatieplicht.
Soms is het informeren van individuele patiënten onmogelijk of vraagt dit onevenredig
veel inspanning. Zoals in artikel 14, vijfde lid, onder b, AVG en artikel 30a, tweede
lid, UAVG (nieuw) is geregeld, gelden dan de hierboven genoemde informatieplichten
niet. Of er sprake is van een situatie waarin het onmogelijk is om te informeren onmogelijk
of onevenredig veel inspanning vergt, is afhankelijk van de specifieke omstandigheden
van het geval. In een geval waar sprake is van zes kilometer aan met name oudere dossiers,
zoals in het geval van het MC Slotervaart, zal hier eerder sprake van zijn dan in
een geval van overdracht van 20 recente dossiers, zoals het geval zou kunnen zijn
bij bijvoorbeeld overlijden van een net gestarte hulpverlener.
Wanneer er sprake is van hele oude adresgegevens, waardoor de kans bestaat dat er
medische gegevens naar een verkeerde adres gestuurd worden, kan het vanuit beschermings-
en zorgplichtoptiek ook «onmogelijk» zijn om de betrokkene te informeren. Dit geldt
temeer voor zeer gevoelige situaties zoals bij (voormalige) patiënten met een psychische
aandoening, voor wie het zeer vervelend zou zijn als hun medische gegevens per ongeluk
bij derden terecht zouden komen. Ook kan het vanuit beschermings- en zorgplichtoptiek
«onmogelijk» zijn de betrokkenen te informeren als de situatie precair is. Gedacht
kan worden aan de situatie dat een jongere een ingreep heeft gehad waarvan de jongere
dit niet met zijn ouders wenst te delen, maar in de dossiers (nog) het adres van de
ouders is opgenomen. In die situaties kan ook een beroep worden gedaan op onmogelijkheid
of onevenredigheid.
Wanneer de patiënt niet direct geïnformeerd wordt, zal de (rechts)persoon die het
doel en de middelen van de gegevensverwerking bepaalt passende maatregelen moeten
nemen om de rechten, de vrijheden en de gerechtvaardigde belangen van de betrokkene
te beschermen. Daarom is geregeld dat de overdracht van medische dossier breed bekend
gemaakt moet worden. Bij deze brede bekendmaking moeten uiteraard algemene bewoordingen
worden gebezigd, die niet herleidbaar zijn tot een bepaalde cliënt.
Bij ministeriële regeling kunnen nadere regels worden gesteld, bijvoorbeeld over de
manier waarop de bekendmaking moet plaatsvinden, zoals door berichtgeving in lokale
media of via huisartsen in de omgeving van de hulpverlener van wie de verantwoordelijkheid
voor het beheren en bewaren van het medisch dossier is overgenomen.
Wanneer op grond van artikel 14, vijfde lid, onder b, AVG geen informatie aan de individuele
patiënten wordt verstrekt, moeten passende maatregelen worden genomen. Het breed bekendmaken
van de overdracht van dossiers is zo’n passende maatregel. Het betreft een maatregel
die in ieder geval genomen moet worden; indien het in een bepaalde situatie noodzakelijk is, moeten
nadere passende maatregelen genomen worden. Wanneer een beroep op artikel 14, vijfde
lid, onder d, wordt gedaan moet het nemen van passende maatregelen gezien worden als
een aanvullende voorwaarde.
Er zal vaak sprake zijn van en stapeling van informatieplichten of van passende maatregelen
als niet aan de informatieplicht kan worden voldaan. Immers, deze plichten rusten
op zowel de (rechts)persoon die overdraagt (hulpverlener of andere dan de hulpverlener
zoals een curator of erfgenaam) als de ontvangende (rechts)persoon. Er kan gekozen
worden gezamenlijk aan deze informatieplichten te voldoen, dus samen de betrokkenen
informeren, of gezamenlijk passende maatregelen, zoals brede bekendmaking, te nemen.
Dit zal vaak ook wenselijk zijn met het oog op duidelijke communicatie richting de
betrokkenen.
Artikel 30a, vijfde lid, en artikel 30b, tweede lid, in samenhang met artikel 30a,
vijfde lid
Bij het overdragen van medische dossiers is niet alleen de AVG van belang, maar ook
de WGBO en de Wet op de beroepen in de individuele gezondheidszorg (hierna: Wet BIG).
In artikel 457 van boek 7 van het BW, eerste volzin, is geregeld dat een hulpverlener
aan anderen dan de patiënt geen inlichtingen over de patiënt dan wel inzage in of
afschrift van de gegevens uit het dossier verstrekt dan met toestemming van de patiënt.
Artikel 88 van de Wet BIG bepaalt dat beoefenaren van gereguleerde beroepen een geheimhoudingsplicht
hebben ten opzichte van wat hen bij het uitoefenen van hun beroep op het gebied van
de individuele gezondheidszorg als geheim is toevertrouwd, of wat daarbij hen als
geheim ter kennis is gekomen of waarvan zij het vertrouwelijke karakter moesten begrijpen.
Deze geheimhoudingsplichten (het medisch beroepsgeheim) richten zich tot de hulpverleners
en beoefenaars van gereguleerde beroepen en gelden dus in beginsel niet voor niet-hulpverleners
(zoals een curator, erfgenaam of executeur). Echter, ook niet-hulpverleners moeten
overeenkomstig de bepalingen omtrent het medisch beroepsgeheim handelen, omdat het
beroepsgeheim een algemeen alsook een individueel belang van de patiënt dient en daarmee
in feite op een ieder rust die patiëntendossiers onder zich krijgt.
Voor curatoren volgt dit bovendien uit het feit dat een faillietverklaring er niet
toe leidt dat bestaande wederkerige overeenkomsten zoals de geneeskundige behandelovereenkomst
– waaruit de geheimhoudingsplicht voortvloeit – eindigen en ook geen wijziging van
de daaruit voortvloeiende verbintenissen tot gevolg heeft. Dit brengt met zich dat
de curator na de faillietverklaring de naleving van het beroepsgeheim moet waarborgen,46 en dat de curator onder het huidige recht in beginsel toestemming nodig heeft om
het medisch beroepsgeheim te doorbreken voor de overdracht van het dossier aan een
hulpverlener.
Voor erfgenamen geldt dat zij als rechtsopvolger onder algemene titel in de voetsporen
van de erflater treden en daarmee in beginsel zijn gebonden aan de overeenkomsten
die door de erflater zijn aangegaan en ook gehouden zijn aan deze overeenkomsten47. Ook het overlijden van een hulpverlener leidt er dus niet toe dat de wettelijke
verplichtingen ten aanzien van de medische dossiers worden beëindigd. Dit brengt met
zich dat de erfgenaam na het overlijden de naleving van het beroepsgeheim moet waarborgen,
en dat de erfgenaam onder het huidige recht in beginsel toestemming nodig heeft om
het medisch beroepsgeheim te doorbreken voor de overdracht van het dossier aan een
hulpverlener. Dat erfgenamen gehouden zijn aan het medisch beroepsgeheim, volgt ook
uit artikel 409 van boek 7 BW, waaruit volgt dat de erfgenamen van de hulpverlener,
als zij kennis dragen van de erfopvolging en van de behandelingsovereenkomst, verplicht
zijn al datgene te doen wat de omstandigheden in het belang van de patiënt eisen.
In de artikelen 30a, vijfde lid, en 30b, tweede lid, in samenhang met artikel 30a,
vijfde lid, zijn doorbrekingsgronden voor het medisch beroepsgeheim opgenomen, die
met zich brengen dat hulpverleners en anderen dan hulpverleners (zoals een curator,
erfgenaam of executeur) zonder toestemming van de patiënt medische dossiers kunnen
overdragen aan een andere hulpverlener of hulpverlenende instantie met het oog op
de bewaarplicht en het bijbehorende beheer van medische dossiers. Het medisch beroepsgeheim
is ontwikkeld ter bescherming van zowel het individu als de samenleving en garandeert
de vrije toegang tot de zorg voor iedereen. Doorbreking mag dan ook niet lichtvaardig
worden opgenomen. Er is gekozen om toch een doorbrekingsgrond op te nemen, om de al
eerder omschreven redenen:
– Voorafgaande toestemming voor overdracht van dossiers met het oog op het bewaren en
beheren van dossiers is vaak ondoenlijk (vaak zal het gaan om een groot aantal dossiers)
of bezwaarlijk (het kan gaan om situaties waarin het zeer vervelend zou zijn als medische
gegevens per ongeluk bij derden terecht zouden komen);
– Patiënten hebben er echter een groot belang bij dat medische dossiers worden bewaard
en beheerd. Zoals hierboven aangegeven, kunnen medische gegevens van belang zijn bij
het verkrijgen van kennis van eerdere ziekten, correlaties tussen eerder doorgemaakte
ziekten of een ondergane behandeling en latere ziekte of behandeling;
– In de huidige praktijk worden patiënten door hulpverleners geïnformeerd en gewezen
op hun rechten wanneer dossiers worden overgedragen aan een opvolger, maar wordt niet
vooraf expliciet om toestemming gevraagd. Niet is gebleken dat dit tot grote bezwaren
leidt, omdat patiënten door deze informatie hun rechten kunnen uitoefenen.
Dientengevolge is geconcludeerd dat onder voorwaarden zonder toestemming met het oog
op het bewaren en beheren van dossiers mag worden overgedragen.
De absolute voorwaarde die geldt voor overdragen van medische dossiers met het oog
op de bewaarplicht en het bijbehorende beheer zonder toestemming voor het doorbreken
van het medisch beroepsgeheim, is dat op de personen die de dossiers overdragen of
bewaren en beheren een geheimhoudingsplicht rust. Zoals hierboven reeds is toegelicht,
is dit voor hulpverleners en hulpverlenende instellingen geregeld in artikel 30, vierde
lid, UAVG en voor anderen dan hulpverleners in artikel 30b, tweede lid, in samenhang
met artikel 30, vierde lid, UAVG. Bovendien geldt er een informatieplicht, of, als
daar niet aan voldaan kan worden, een bekendmakingsplicht. Zoals hierboven reeds is
toegelicht, is dit geregeld in artikel 30a, tweede en derde lid, en in artikel 30b,
tweede lid, in samenhang met artikel 30a, tweede en derde lid, UAVG. Zo wordt geborgd
dat uiterst voorzichtig wordt omgegaan met de medische gegevens.
Onderdeel N (artikel 32)
Eerste onderdeel
Artikel 10 AVG biedt ruimte aan de nationale wetgever regels te stellen over het verwerken
van gegevens van strafrechtelijke aard. Nu gebruik wordt gemaakt van de mogelijkheid
die de AVG aan de nationale wetgever biedt in artikel 32, wordt met de voorgestelde
wijziging de gekozen wetssystematiek in de UAVG, waarin deze ruimte telkens expliciet
wordt benoemd («gelet op»), consequent doorgevoerd.
Tweede onderdeel
Voor de toelichting bij de tweede voorgestelde aanpassing in artikel 32 wordt verwezen
naar de toelichting op de wijziging van artikel 22 UAVG in onderdeel G van dit artikel.
Onderdeel O (artikel 33)
Eerste onderdeel
Voor de toelichting bij de voorgestelde aanpassing in de aanhef van artikel 33 UAVG
wordt verwezen naar de toelichting bij het eerste onderdeel van onderdeel M van artikel I
van onderhavig wetsvoorstel.
Tweede onderdeel
Voor de toelichting bij de voorgestelde aanpassing wordt verwezen naar de toelichting
bij onderdeel I van artikel I van onderhavig wetsvoorstel.
Onderdeel P (opschrift)
Voorgesteld wordt om het opschrift van hoofdstuk 4 aan te passen vanwege het voorstel
om met artikel 47a een delegatiegrondslag toe te voegen aan dit hoofdstuk.
Onderdeel Q (artikel 43)
Artikel 85, tweede lid, AVG verplicht lidstaten ertoe om uitzonderingen of afwijkingen
van de belangrijkste materieelrechtelijke bepalingen van de AVG vast te stellen voor
verwerking voor journalistieke doeleinden of ten behoeve van academische, artistieke
of literaire uitdrukkingsvormen. Aan deze verplichting is met artikel 43 UAVG voldaan.
Het eerste lid van dat artikel sluit de toepasselijkheid van de UAVG uit voor de verwerking
van persoonsgegevens voor uitsluitend journalistieke doeleinden en ten behoeve van
uitsluitend academische, artistieke of literaire uitdrukkingsvormen, met uitzondering
van de artikelen 1 tot en met 4 en het eerste en tweede lid van artikel 5 UAVG.
Doordat bij amendement48 artikel 2a in de UAVG is ingevoegd, valt dit artikel onbedoeld onder de opsomming
van het artikel 43, eerste lid, UAVG. Gelet op de inhoud van dit artikel, artikel 2a
gaat over de inachtneming van de specifieke behoeften van kleine, middelgrote en micro-ondernemingen
door de AP, behoort dit artikel logischerwijs echter niet van toepassing te zijn.
Alle artikelen betreffende de AP zijn immers niet van toepassing op journalistieke
doeleinden of academische, artistieke of literaire uitdrukkingsvormen. Dit blijkt
uit het eerste lid van artikel 43, alsmede het tweede lid, onderdeel e, waar immers
het gehele hoofdstuk in de AVG over de toezichthoudende autoriteit buiten toepassing
wordt gelaten voor dit type verwerkingen. Artikel 2a UAVG dient dan ook niet van toepassing
te zijn op dit specifieke type verwerkingen. Dit wordt bewerkstelligd door de nieuw
voorgestelde opsomming in het eerste lid van artikel 43 UAVG.
Onderdeel R (artikel 45)
De vertegenwoordigers van het openbare en particuliere archiefwezen in Nederland hebben
te kennen gegeven dat een onwenselijke situatie ontstaat door het beperken van de
uitzonderingen, bedoeld in artikel 45, eerste lid, UAVG, tot uitsluitend archiefbescheiden
als bedoeld in artikel 1, onderdeel c, van de Archiefwet 1995, die berusten in een
archiefbewaarplaats als bedoeld in artikel 1, onderdeel f, van die wet. Dit betekent
dat de uitzonderingen enkel van toepassing zijn op archiefbewaarplaatsen die zijn
belast met de blijvende bewaring en beschikbaarstelling van naar hen overgebrachte
overheidsinformatie van respectievelijk het Rijk, de provincies, de gemeenten en de
waterschappen.
Er zijn in Nederland echter ook veel instellingen die geen archiefbewaarplaats zijn
in de zin van de Archiefwet, maar die ook voor het publiek toegankelijke instellingen
zijn en die archieven – onder meer afkomstig van particulieren en van private organisaties,
van blijvende waarde voor het algemeen en historisch belang beheren. Deze archieven
bevatten ook (bijzondere categorieën van) persoonsgegevens. Denk bijvoorbeeld aan
instellingen die niet onder de Archiefwet vallen maar die wel archieven van historische
en maatschappelijke betekenis beheren, bijvoorbeeld ten aanzien van sociale geschiedenis,
kunstgeschiedenis, geschiedenis van de vrouwenemancipatie, kerkelijke geschiedenis,
familiegeschiedenis of persgeschiedenis. Als voorbeelden gelden het Internationaal
Instituut voor Sociale Geschiedenis, RKD Nederlands Instituut voor Kunstgeschiedenis,
Atria Kennisinstituut voor Emancipatie en Vrouwengeschiedenis, het Katholiek Documentatiecentrum,
het CBG Centrum voor Familiegeschiedenis en het Nederlands Instituut voor Beeld en
Geluid. In het bijzonder gaat het om archieven en collecties als bedoeld in overweging
158 bij de AVG, die het politiek gedrag onder voormalige totalitaire regimes, genocide,
misdaden tegen de menselijkheid, of oorlogsmisdaden als thema hebben. Voorbeelden
daarvan zijn het NIOD, het Instituut voor oorlogs-, holocaust- en genocidestudies,
Herinneringscentrum Kamp Westerbork en het Nationaal Monument Oranjehotel. Er zijn
echter ook kleinere instellingen die archieven beheren voor het algemeen belang. Denk
bijvoorbeeld aan familiestichtingen, kastelen en (kleinere) musea met archieven. De
hiervoor genoemde en vele andere instellingen zouden door de beperkte reikwijdte van
artikel 45, eerste lid, UAVG aan betrokkenen de rechten moeten verlenen, zoals vermeld
in de artikelen 15, 16, 18, eerste lid, onderdeel a, en artikel 20 AVG. Dat kan ertoe
leiden dat deze instellingen onder druk van ongerichte verzoeken van betrokkenen komen
te staan of dat bij honorering van verzoeken tot rectificatie of vernietiging waardevolle
gegevens verloren gaan. Daarom wordt voorgesteld in artikel 45 UAVG te bepalen dat
– naast de archiefbewaarplaatsen in de zin van de Archiefwet – ook andere voor het
publiek toegankelijke instellingen die archieven van blijvende waarde voor het algemeen
en historisch belang beheren en die geen winstoogmerk hebben onder voornoemde uitzondering
komen te vallen. Naar aanleiding van het advies van de AP is ter invulling van het
criterium «algemeen belang» de reikwijdte beperkt tot instellingen die in hoofdzaak
door de overheid worden bekostigd, of een bestuur hebben dat merendeels bestaat uit
leden die door de overheid zijn aangewezen. Hierdoor is zeker dat er inderdaad sprake
is van een algemeen belang. Dit sluit ook aan bij omschrijvingen van de (semi)overheid
en publieke instellingen in andere EU wetgeving.49 De verwachting is dat hiermee de belangrijkste archiefcollecties, die vanwege het
algemene belang steun krijgen van de overheid, onder de uitzondering vallen. De overweging
158 bij de AVG laat hier ook expliciet ruimte voor aan de lidstaten.
Onderdeel S (artikel 46)
Aanleiding voor het laten vervallen van het tweede lid, is dat het eerste en tweede
lid van artikel 46 (oud) in hun onderlinge verhouding vragen bleken op te roepen.
Met name rees telkens de vraag of een algemene maatregel van bestuur, waarin regels
worden gesteld over het gebruik van het burgerservicenummer (bsn), een specifieke wettelijke grondslag behoeft, dan wel of de UAVG als zodanig die grondslag biedt. De UAVG maakt mogelijk dat beide typen grondslagen kunnen worden
gehanteerd. De onduidelijkheid die dit creëert is, gelet op het primaat van de wetgever
alsmede de zich ontwikkelende functie en (rechts)gevolgen van het bsn in het maatschappelijke
verkeer – in samenhang met (elektronische) identificatie en toegang tot publieke diensten –
niet langer wenselijk. Voorgesteld wordt daarom om de afweging inzake het gebruik
van het bsn, met name waar het gaat om het toestaan van het verwerken en uitwisselen
van bsn door private organisaties, te maken in een (domein)specifieke wet.
Artikel 46 (nieuw) maakt duidelijk dat voortaan regels over bsn-gebruik steeds een
specifieke formeel wettelijke grondslag behoeven. Het artikel is daarmee beter in
lijn met artikel 1, onderdeel d, punt 2, van de Wet algemene bepalingen burgerservicenummer,
dat het gebruik van het bsn door andere dan overheidsorganen mogelijk maakt, voor
zover deze werkzaamheden verrichten waarbij het gebruik van het bsn bij of krachtens
wet is voorgeschreven. Wel kan bijvoorbeeld in een dergelijke formele wet worden bepaald,
dat bij algemene maatregel van bestuur organisaties kunnen worden aangewezen die ter
uitvoering van de desbetreffende wet het bsn verwerken. Vanzelfsprekend moet dit dragend
gemotiveerd worden.
Voor de algemene maatregelen van bestuur die ten tijde van het tot stand komen van
deze wet reeds waren gebaseerd op het tweede lid, zij verwezen naar het voorgestelde
overgangsrechtelijke artikel 48b (zie onderdeel V van artikel I met bijbehorende toelichting).
In de gevallen waarin het noodzakelijk is om bsn te verwerken, bestaat de mogelijkheid
om dit in sectorale wetgeving te regelen. Dit is passend gelet op het primaat van
de wetgever alsmede de zich ontwikkelende functie en (rechts)gevolgen van het bsn
in het maatschappelijke verkeer. De overige reacties vallen buiten het bereik van
de verzamelwet.
Onderdeel T (artikel 47a)
Het komt met enige regelmaat voor dat een Minister een commissie of adviescollege
tijdelijk instelt om bijvoorbeeld een bepaalde veronderstelde misstand uit het verleden
te onderzoeken en dat deze commissie of dit adviescollege als onderdeel van de toegekende
taak persoonsgegevens moet verwerken.50 Dit artikel stelt regels voor de verwerking van persoonsgegevens door dergelijke
commissie of adviescolleges. Vanzelfsprekend dient ook een dergelijke commissie of
adviescollege zich bij het verwerken van persoonsgegevens te houden aan de AVG. Zo
moet de verwerking van persoonsgegevens gebaseerd zijn op een grondslag als bedoeld
in artikel 6, eerste lid, AVG. Als het voor een commissie of adviescollege noodzakelijk
is voor de uitvoering van de taak dat persoonsgegevens van derden worden verwerkt,
bijvoorbeeld omdat de commissie onderzoek doet naar de gang van zaken bij overheidsoptreden
jegens burgers en daarvoor de opgeslagen gegevens van de overheid over die burgers
moet worden betrokken, is een duidelijke regeling van de gegevensverwerking noodzakelijk,
zeker als het ook bijzondere categorieën van persoonsgegevens of persoonsgegevens
van strafrechtelijke aard betreft.
Aangezien het instellen van een tijdelijke commissie of tijdelijk adviescollege vanwege
het urgente maatschappelijke belang in veel gevallen niet zal kunnen wachten totdat
er een grondslag is gecreëerd in een wet in formele zin en het ook niet in alle gevallen
mogelijk zal zijn om de verwerking van de persoonsgegevens door de commissie op een
andere grondslag te baseren, wordt hiervoor een regeling voorgesteld.
Deze regeling wordt beperkt tot tijdelijke commissies als bedoeld in artikel 1, onderdeel b, van de Wet vergoedingen adviescolleges
en commissies of tijdelijke adviescolleges als bedoeld in de artikelen 5 en 6 van
de Kaderwet adviescolleges, die bij koninklijk besluit, ministerieel besluit of ministeriële
regeling worden ingesteld. In dat laatste geval gaat het om de situatie bedoeld in
artikel 6 van de Kaderwet adviescolleges, waarin is bepaald dat een adviescollege
voor de eenmalige advisering over een bepaald vraagstuk bij koninklijk besluit of
bij ministeriële regeling kan worden ingesteld.
Bij tijdelijke of eenmalige commissies of adviescolleges zal aan het spoedeisende
karakter van de regeling of aan het eenmalige van de onderzoeksopdracht in de toelichting
bij de instellingsregeling aandacht moeten worden besteed. Dit is een invulling van
de reeds bestaande motiveringsplicht bij colleges en commissies.51 De toelichting zal dragend moeten motiveren dat een regulier wetstraject niet kan
worden afgewacht en tevens wanneer de het onderzoek of het advies afgerond zal zijn.
Adviescolleges als bedoeld in artikel 4 van de Kaderwet adviescolleges, die bij wet
worden ingesteld, vallen niet onder de reikwijdte van het voorgestelde artikel. De
verwerking van persoonsgegevens dient in die gevallen in de wet waarbij een adviescollege
wordt ingesteld geregeld te worden. Commissies bedoeld in artikel 1, aanhef en onder
b, van de Wet vergoedingen adviescolleges die permanent worden ingesteld vallen eveneens
niet onder deze voorgestelde regeling. Deze commissies kunnen ook bij of krachtens
en wet in formele zin worden ingesteld en in geval van een permanente commissie verdient
dat de voorkeur en dient in die regeling ook de verwerking van persoonsgegevens geregeld
te worden. Dit is vooral van belang als een dergelijke permanente commissie bijzondere
categorieën van persoonsgegevens of persoonsgegevens van strafrechtelijke aard gaat
verwerken. Een permanente commissie die deze persoonsgegevens niet verwerkt, met een
taak van algemeen belang, zal op grond van artikel 6, eerste lid van de AVG doorgaans
een grondslag voor de verwerking van persoonsgegevens hebben. Het is dan wel aan te
bevelen bij de instelling van een dergelijke permanente commissie aan te geven wie
de verwerkingsverantwoordelijke is en een maximale bewaartermijn op te nemen.
De AVG kent een zogenaamd «materieel wetgevingsbegrip», hetgeen wil zeggen dat de
rechtsgrond als bedoeld in artikel 6, eerste lid onder c en e, van de AVG moet worden
vastgesteld bij lidstaatrechtelijk recht. In Nederland kan op grond van artikel 10
van de Grondwet slechtsbij of krachtens de wet in formele zin inbreuk worden gemaakt
op het recht op de persoonlijk levenssfeer. Hierbij is dus wel de mogelijkheid tot
delegatie opengelaten. In het voorgestelde artikel wordt van deze delegatiemogelijkheid
gebruik gemaakt. Eerste lid
Eerste lid
In het eerste lid is omschreven om welke commissies en adviescolleges het gaat en
dat persoonsgegevens mogen worden verwerkt door deze tijdelijke adviescolleges en
commissies indien aan een aantal voorwaarden is voldaan. De taak van algemeen belang
die uitgevoerd wordt en het doel van verwerking van persoonsgegevens moeten in die
instellingsregeling worden opgenomen op een wijze die voldoet aan de eisen die de
AVG daaraan stelt. Zo moet het doel welbepaald en uitdrukkelijk omschreven zijn. In
deze instellingsregeling moet ook worden bepaald wie de verwerkingsverantwoordelijke
is. Het kan zijn dat dat de Minister is onder wie het adviescollege of de commissie
ressorteert, maar het kan ook zo zijn dat de commissie of het adviescollege zelf verwerkingsverantwoordelijk
is voor doel en middelen van de verwerking van persoonsgegevens. Om onduidelijkheid
over de verwerkingsverantwoordelijkheid te voorkomen, wordt voorgeschreven dat deze
aangewezen moet worden in de instellingsregeling. Dit kan het adviescollege of de
commissie zelf zijn, maar kan bijvoorbeeld ook de Minister zijn die het adviescollege
of de commissie instelt. Dit zal afhangen van de taak en gewenste onafhankelijkheid
van de commissie of het adviescollege. Ook is bepaald dat er een maximale bewaartermijn
moet worden aangegeven. Deze termijn zal vaak samenvallen met de duur van de instelling
van de commissie of het adviescollege.
Tweede lid
Het tweede lid ziet op de verwerking van onder meer het burgerservicenummer, maar
het kan ook gaan om andere identificerende nummers zoals het vreemdelingennummer.
Omdat in dit artikellid wordt bepaald dat in het instellingsbesluit of de instellingsregeling
kan worden bepaald of nummers die dienen ter identificatie kunnen worden verwerkt,
is artikel 46 van deze wet niet van toepassing. Dit artikellid moet als een zelfstandige
toepassing van artikel 87 van de AVG gezien worden.
Afhankelijk van de taak van de tijdelijke commissie of tijdelijk adviescollege kan
het immers noodzakelijk zijn deze nummers mogen verwerken en daarom wordt hiervoor
een voorziening getroffen. Dit in aanvulling op artikel 10 Wet algemene bepalingen
burgerservicenummer, waarin is bepaald dat overheidsorganen voor hun taak het burgerservicenummer
mogen verwerken. Het kan, zoals gezegd ook om andere nummers ter identificatie van
een persoon gaan, zoals het vreemdelingennummer.
Op grond van artikel 87 AVG kunnen lidstaten de specifieke voorwaarden voor de verwerking
van een nationaal identificatienummer nader vaststellen. Dit artikellid is daar een
uitwerking van. Vereist is dat in de instellingsregeling of het instellingsbesluit
wordt bepaald dat deze nummers kunnen worden verwerkt en dat er passende waarborgen
zijn opgenomen voor de rechten en vrijheden van de betrokkene. Hierbij kan gedacht
worden aan beveiligingsmaatregelen, autorisatie van medewerkers om toegang tot deze
gegevens te krijgen of logging van de verwerkingen met betrekking tot deze gegevens.
Derde lid
Het derde lid ziet op de verwerking bijzondere categorieën van persoonsgegeven en
persoonsgegevens van strafrechtelijke aard. In dit artikellid zijn voorwaarden en
waarborgen opgenomen voor de verwerking van deze persoonsgegevens.
Bijzondere en strafrechtelijke persoonsgegevens kunnen ten eerste enkel verwerkt worden,
indien dit noodzakelijk is in het kader van een zwaarwegend algemeen belang dat in
de instellingsregeling is opgenomen. Dit zwaarwegende algemene belang én de noodzaak
voor verwerking van deze persoonsgegevens moet afdoende onderbouwd worden in de toelichting
bij het besluit of de regeling. Ook dient bezien te worden of er noodzaak is een gegevensbeschermingseffectbeoordeling,
zoals geformuleerd in artikel 35 AVG, uit te voeren.
Ook moet duidelijk zijn dat het vragen van uitdrukkelijke toestemming onmogelijk blijkt
of een onevenredige inspanning vergt. Hiermee wordt aangesloten bij artikel 24 van
deze wet, waarbij dit vereiste ook geldt voor de verwerking van bijzondere categorieën
van persoonsgegevens voor het doen van wetenschappelijk of historisch onderzoek of
statistische doeleinden. Vaak zal het vragen van toestemming niet mogelijk zijn, maar
er dient wel onderzocht te worden of dat inderdaad niet tot de mogelijkheden behoort.
Er kan ook gedacht worden aan het in algemene bewoordingen breed kenbaar maken van
deze gegevensverwerking. In de toelichting bij de instellingsregeling dient hierop
ingegaan te worden.
Er dienen tot slot in de instellingsregeling voldoende passende en specifieke waarborgen
te zijn opgenomen ter bescherming van de grondrechten en fundamentele belangen van
de betrokkene. Deze eis vloeit voort uit artikel 9, tweede lid, aanhef en onder g,
van de AVG. Omdat de aard en onderwerpen en werkwijzen van de verschillende tijdelijke
commissies en adviescolleges waarop dit artikel ziet, zo verschillend kunnen zijn,
zal per commissie of adviescollege bezien moeten worden welke extra waarborgen nog
noodzakelijk zijn. Die worden in de instellingsregeling opgenomen. Ook hierbij kan
gedacht worden aan goede beveiligingsmaatregelen, het loggen van verwerkingen en het
autoriseren van medewerkers. Ook het pseudonimiseren van persoonsgegevens is een hele
goede beveiligingsmaatregel. Indien pseudonimisering mogelijk is, is het aan te bevelen
om dit ook te doen. Vaak zal het ook niet nodig zijn voor de commissie om te weten
om welke betrokkenen het precies gaat. Dit zal van de taak van de commissie afhangen.
Indien aan de eisen in het derde lid is voldaan, bestaat er een grondslag voor de
verwerking van bijzondere persoonsgegevens of persoonsgegevens van strafrechtelijke
aard.
Vierde lid
Een tijdelijke commissie of adviescollege zal verantwoording moeten afleggen over
de uitgevoerde taken. Zeker in het geval er bijzondere of strafrechtelijke gegevens
zijn verwerkt, is het van belang ook verantwoording af te leggen over de wijze van
gegevensverwerking. Daarom is in dit artikellid een verplichting opgenomen hieraan
aandacht te besteden in het eindverslag van de commissie of adviescollege. Een adviescollege
is op grond van artikel 28 van de Wet adviescolleges verplicht om een verslag uit
te brengen. Ook een commissie zal doorgaans verantwoording moeten afleggen over zijn
werkzaamheden. In deze verantwoording zal dan ook aandacht moeten worden besteed aan
de verwerking van bijzondere categorieën van persoonsgegevens en persoonsgegevens
van strafrechtelijke aard.
Vijfde lid
In het vijfde lid wordt de verplichting om de verwerking van gezondheidsgegevens alleen
te laten plaatsvinden door personen die uit hoofde van ambt, beroep of wettelijk voorschrift,
dan wel krachtens overeenkomst tot geheimhouding zijn verplicht, zoals de is verwoord
in artikel 30, vierde lid van deze wet, van toepassing verklaard.
Zesde lid
Er is voor gekozen om aan te sluiten bij artikel 6, tweede lid, van de Kaderwet adviescolleges
voor wat betreft de vormgeving van de parlementaire betrokkenheid. Omdat in de artikelen 5
en 6 van de Kaderwet adviescolleges al een voorziening is getroffen voor de tijdelijke
adviescolleges, ziet dit artikellid slechts op commissies als bedoeld in het eerste
lid. Ook geldt het vereiste de instellingsregeling onverwijld toe te zenden aan beide
kamers der Staten-Generaal slechts indien er bijzondere categorieën van persoonsgegevens
of strafrechtelijke persoonsgegevens worden verwerkt. Bij de verwerking van deze gegevens
is sprake van een grotere mate van inbreuk op de bescherming van de persoonlijke levenssfeer
en dat rechtvaardigt deze vorm van parlementaire betrokkenheid.
Onderdeel U (artikel 48)
Per abuis is in artikel 48 het woord «is» te veel gebruikt. Met dit voorstel wordt
deze redactionele fout hersteld.
Onderdeel V (artikel 48b)
Deze bepaling behelst eerbiedigende werking ter zake van de op basis van het tweede
lid van artikel 46 UAVG (oud) vastgestelde algemene maatregelen van bestuur. Ingevolge
onderdeel S van artikel I van het onderhavige wetsvoorstel wordt het tweede lid van
artikel 46 geschrapt. Zie de toelichting bij dat artikel.
Het wordt onwenselijk geacht om de grondslag aan de ingevolge het tweede lid van artikel 46
UAVG (oud) reeds vastgestelde algemene maatregelen van bestuur te laten ontvallen.
Daartoe is overgangsrecht nodig en dient deze bepaling. Concreet gaat het om het Besluit
digitalisering burgerlijk procesrecht en bestuursprocesrecht, het Besluit Jeugdwet,
het Besluit opleidingseisen en deskundigheidsgebied physician assistent, het Besluit
tegemoetkoming specifieke zorgkosten en het tijdelijk Besluit nummergebruik overheidstoegangsvoorziening.
Bij gelegenheid van toekomstige regulering van de onderwerpen in deze algemene maatregelen
van bestuur, zal bezien worden of verankering in een nieuwe specifieke wettelijke
grondslag in de rede ligt.
ARTIKEL II. Faillissementswet
Onderdeel A (artikel 68a)
In de Faillissementswet (Fw) zijn de insolventieprocedures faillissement, surseance
van betaling en de schuldsaneringsregeling natuurlijke personen (Wsnp) geregeld. Op
grond van artikel 68 Fw is in faillissement de curator belast met het beheer en de
vereffening van de failliete boedel. Artikel 215 Fw bepaalt voor de surseance dat
de bewindvoerder is belast om samen met de schuldenaar het beheer te voeren over diens
zaken. Daarnaast is de Wsnp-bewindvoerder op grond van artikel 316 Fw belast met het
toezicht op de naleving door de schuldenaar van diens verplichtingen die uit de Wsnp
voortvloeien en met het beheer en de vereffening van de boedel. Het gaat hierbij om
een taak van algemeen belang. De achterliggende gedachte is namelijk dat de curator
en bewindvoerder zorgen voor een ordentelijk verloop van het maatschappelijk verkeer
in de situatie waarin een schuldenaar niet langer in staat is om aan zijn financiële
verplichtingen te voldoen. Door een duidelijke en voorspelbare wettelijke procedure
te bieden waarbij de curator respectievelijk bewindvoerder namens de gezamenlijke
schuldeisers is belast met het beheer en de vereffening van de boedel, onder toezicht
van de rechter-commissaris, weten de failliet, schuldeisers en derden waar zij aan
toe zijn. De Fw en de te onderscheiden procedures van faillissement, surseance en
schuldsanering bieden daarmee ook rechtszekerheid en rechtsbescherming. Bij het beheer
en de vereffening van de boedel handelt de curator in het belang van de gezamenlijke
schuldeisers – en probeert de curator voor hen een zo hoog mogelijke opbrengst te
genereren. Daarbij moet de curator ook rekening houden met andere maatschappelijke
belangen, zoals de continuïteit van de onderneming en het behoud van werkgelegenheid.
Die belangen mag hij onder omstandigheden ook laten prevaleren boven het belang van
een individuele schuldeiser52.
De curator, de bewindvoerder in surseance en de Wsnp-bewindvoerder verwerken bij de
uitoefening van deze wettelijke taken vaak persoonsgegevens.53 Denk aan persoonsgegevens betreffende: de persoon van de failliet of als de failliet
een vennootschap is, de bestuurders; de werknemers van het bedrijf dat door de failliet
werd gedreven; klanten van dat bedrijf en de bij het faillissement betrokken schuldeisers.
Op deze verwerking is de AVG van toepassing. Verwerking van persoonsgegevens is rechtmatig
indien dit op een van de in artikel 6, eerste lid, AVG opgenoemde grondslagen is gebaseerd.
De verwerking van persoonsgegevens in het kader van de wettelijke taakuitoefening
van de curator, de bewindvoerder in surseance en de Wsnp-bewindvoerder geschiedt – zoals
in het onderhavige wetsvoorstel wordt voorgesteld – op grond van artikel 6, eerste
lid, onderdeel e, en derde lid, AVG in het kader van de vervulling van een taak van
algemeen belang zoals vastgelegd in de wet. Om de curator, de bewindvoerder in surseance
en de Wsnp-bewindvoerder behulpzaam te zijn bij het bepalen van welke gegevensverwerkingen
in het kader van de vervulling van hun taak zijn toegestaan, is een lijst opgenomen
met specifieke handelingen en gegevensverwerkingen. Dit sluit niet uit dat in voorkomende
gevallen er ook andere gronden kunnen zijn, zoals artikel 6, eerste lid, onderdeel c
(wettelijke verplichting) of onderdeel f (gerechtvaardigde belangen), op basis waarvan
gegevensverwerkingen zijn toegestaan.
De curator is gedurende het faillissement verwerkingsverantwoordelijke. Hetzelfde
geldt voor de bewindvoerder gedurende de surseance van betaling indien die zelfstandig
persoonsgegevens verwerkt en voor de Wsnp-bewindvoerder gedurende een Wsnp-traject.
Op de curator en de bewindvoerder(s) rusten zodoende onder andere de plichten om te
zorgen voor passende beveiliging van de persoonsgegevens en deze persoonsgegevens
in voorkomende gevallen te bewaren.54 AVG
Voor de verwerking van bijzondere categorieën van persoonsgegevens of persoonsgegevens
betreffende strafrechtelijke veroordelingen en strafbare feiten en het burgerservicenummer
(bsn) gelden bijzondere voorwaarden. Waar nodig is daar in het onderhavige wetsvoorstel
in voorzien. Verder gelden twee belangrijke uitgangspunten: persoonsgegevens moeten
voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld,
en mogen door de verwerkingsverantwoordelijke vervolgens niet op een met het verzameldoel
onverenigbare wijze verder worden verwerkt («doelbindingsbeginsel»).
Deze verplichtingen volgen uit de AVG en worden niet gewijzigd.55 De AP houdt toezicht op de naleving van deze verplichtingen.
Zoals hiervoor aangegeven, heeft de curator in faillissement vaak te maken met (verwerking
van) persoonsgegevens en vindt deze plaats op basis van de gegeven wettelijke taakomschrijving.
In de loop der jaren is de taak van de curator uitgebreid en veranderd, door maatschappelijke
ontwikkelingen en ontwikkelingen in de jurisprudentie. Waar bij de invoering van de
Fw de nadruk bij het faillissement lag op de onmiddellijke opheffing van een eventuele
onderneming en verkoop van alle activa, is deze nadruk in de loop der tijd verschoven
naar – waar mogelijk – het in stand houden en verkopen van de onderneming om daarmee
zoveel mogelijk waarde en bijvoorbeeld ook werkgelegenheid te kunnen behouden. Dat
maakt dat de letterlijke tekst van de Fw niet meer altijd aansluit bij de daadwerkelijke
taak van de curator. Dit zorgt in een aantal gevallen voor onduidelijkheid. Daar is
ook in de literatuur en vanuit de praktijk op gewezen. Ook in de consultatie werd
in het algemeen de wenselijkheid van het voorzien van een wettelijke grondslag in
de Fw onderschreven. De voorliggende nieuwe bepaling (artikel 68a Fw) beoogt daar
nu helderheid in te brengen. Bij het opstellen van de bepaling is telkens de vraag
gesteld: op welke wijze oefent de curator zijn taak uit, sluit deze taakuitoefening
nog steeds aan bij de tekst van de wet of is er een nadere specificering nodig en
welke persoonsgegevens verwerkt de curator bij deze taakuitoefening? Het voorgaande
geldt uiteraard ook voor de bepalingen betreffende de taakuitoefening door de bewindvoerder
in surseance en de Wsnp-bewindvoerder. Recent is de Wet homologatie onderhands akkoord
ingevoerd, waarin onder meer ook twee nieuwe insolventiefunctionarissen zijn geïntroduceerd:
de herstructureringsdeskundige en de observator. In de artikelen 371, 376 en 380 Fw
is een voldoende nauwkeurige taakomschrijving opgenomen voor de herstructureringsdeskundige
respectievelijk de observator. Voor zover dit nodig is in het kader van die taakuitoefening
kunnen de herstructureringsdeskundige en de observator op basis van artikel 6, eerste
lid, onderdeel e, en derde lid, AVG ook persoonsgegevens verwerken. Het is niet nodig
om dit nog verder te specificeren.
De wijzigingen die zijn voorgesteld in artikel III verduidelijken dat de curator en
de bewindvoerders bij de uitoefening van hun wettelijke taken persoonsgegevens als
bedoeld in de UAVG en AVG rechtmatig kunnen verwerken. Voor de curator geldt dat aan
deze verduidelijking in de praktijk behoefte bestaat, mede omdat de wijze waarop de
curator in de loop der jaren zijn taak uitoefent meeromvattend is geworden.56 Dit betekent dat de curator meer dan vroeger met verwerking van persoonsgegevens
te maken heeft. Bovendien komt het de rechtszekerheid ten goede als in een specifieke
grondslag is voorzien voor de curator, de bewindvoerder in surseance en de Wsnp-bewindvoerder.
Zoals gezegd, wordt wat betreft de grondslag voor verwerking van gegevens aangesloten
bij artikel 6, eerste lid, onderdeel e, en derde lid, AVG. Hiertoe wordt een drietal
artikelen in de Fw ingevoegd. Daarbij wordt eerst meer algemeen omschreven in het
kader van welke wettelijke taak de curator, de bewindvoerder in surseance en de Wsnp-bewindvoerder
bevoegd zijn om gegevens te verwerken en wordt de bevoegdheid tot gegevensverwerking
vervolgens gekoppeld aan de specifieke wijze waarop deze taak wordt uitgeoefend. In
voorkomende gevallen, moeten de curator en de bewindvoerder(s) ook nummers die ter
identificatie dienen van personen, zoals het bsn kunnen verwerken of bijzondere categorieën
persoonsgegevens of gegevens van strafrechtelijke aard.
Het voorgaande leidt tot het volgende systeem.
(1) Wanneer een curator of bewindvoerder zich in het kader van zijn taakuitoefening genoodzaakt
ziet om gegevens te verwerken, stelt hij vast op grond van welke wettelijke bepaling
in de Fw hij bevoegd is om deze gegevens te verwerken. Daarvoor kijkt de curator respectievelijk
bewindvoerder allereerst of de voorgenomen handeling in de lijst van artikel 68a lid
2, respectievelijk artikel 215b lid 2 of artikel 316a lid 2 is opgenomen. Is dit het
geval, dan kan hij de gegevensverwerking op deze bepaling baseren.
(2) Is de voorgenomen handeling niet expliciet opgenomen op de lijst, maar wel in de wet
voldoende specifiek omschreven, dan kan de curator de gegevensverwerking zo nodig
op het eerste lid baseren. Denk bijvoorbeeld aan de bekendmaking van het einde van
het faillissement door homologatie van een akkoord, op grond van artikel 161 Fw. Het
is bij een faillissement van een natuurlijk persoon nodig om diens naam te publiceren
in de Staatscourant. Dat staat immers letterlijk in artikel 161 Fw. In dit geval is
dit artikel voldoende specifiek om de gegevensverwerking op te baseren. Het is bovendien
noodzakelijk om deze naam te publiceren, omdat anders schuldeisers niet op de hoogte
zijn van het einde van het faillissement.
(3) Is de voorgenomen handeling niet opgenomen op de lijst en evenmin voldoende specifiek
in de wet (of lagere regelgeving) omschreven, dan zal de curator op basis van de overige
in de AVG genoemde gronden, zoals overeenkomst (artikel 6, eerste lid onder b, AVG),
wettelijke verplichting (artikel 6 eerste lid onder c, AVG of gerechtvaardigd belang
(artikel 6, eerste lid onder f, AVG), moeten beoordelen of de gegevensverwerking is
toegestaan. Denk aan de situatie dat een curator ten behoeve van een gefailleerde
natuurlijk persoon en de boedel een overeenkomst met een derde sluit, waarbij de levering
op het thuisadres van de failliet plaatsvindt. Het adres – een persoonsgegeven – is
dan nodig voor de uitvoering van de overeenkomst. Deze gegevensverwerking zou dan
op artikel 6 eerste lid onder b, AVG gebaseerd kunnen worden.
Bij bijzondere persoonsgegevens, strafrechtelijke persoonsgegevens of een bsn geldt
dat de verwerking gebaseerd moet worden op artikel 68a, derde lid, respectievelijk
artikel 215b, derde lid en artikel 316a, derde lid Fw. Is dit niet mogelijk, dan is
nog voorstelbaar dat artikel 22, tweede lid onder e of artikel 32, onder d UAVG, een
grond voor verwerking biedt. In genoemde artikelen is geregeld dat bijzondere en strafrechtelijke
gegevens mogen worden verwerkt voor instelling, uitoefening en onderbouwing van een
rechtsvordering.
Onderdeel A (artikel 68a)
Eerste en tweede lid
In het eerste lid is de algemene bepaling gegeven dat de curator gegevens kan verwerken
voor zover dit op grond van de wet noodzakelijk is voor het beheer en de vereffening
van de boedel. Zoals hiervoor is aangegeven, wordt met «bij of krachtens de wet» gedoeld
op de artikelen in de Fw (of lagere regelgeving) waarbij een taak aan de curator wordt
toegekend of hem een verplichting of bevoegdheid wordt opgelegd respectievelijk toegekend.
Ter nadere verduidelijking is in het tweede lid een lijst opgenomen van feitelijke
handelingen en rechtshandelingen die in ieder geval onder de taak tot het beheer en
de vereffening van de faillissementsboedel worden verstaan en waarbij de curator dus
persoonsgegevens mag verwerken. Het tweede lid betreft een lijst met specifieke handelingen
en taken en omvat de mogelijkheid om ter aanvulling daarvan een aantal handelingen
of taken bij of krachtens algemene maatregel van bestuur aan te wijzen. Daarbij is
ervoor gekozen om de taken van de curator op te nemen die in de Fw worden benoemd,
maar waarbij specifieke verwerkingen van persoonsgegevens aan de orde zijn die niet
in alle gevallen direct uit de wet zijn af te leiden en waarbij daarom verduidelijking
aangewezen is.
De postblokkade is in onderdeel a genoemd en geeft de curator de mogelijkheid om brieven
te openen, zoals geregeld in de artikelen 14 en 99 Fw. Deze blokkade en de daarmee
samenhangende verwerking van persoonsgegevens is nodig (zoals het openen en eventueel
administreren van brieven) in het kader van de effectiviteit van het toezicht op de
failliet en om de kans te verkleinen dat bijvoorbeeld rekeningen of betalingen buiten
het zicht van de curator blijven.
Onderdeel b bevat het opzeggen van de arbeidsovereenkomst. In nagenoeg elk faillissement
waarbij een onderneming betrokken is, vindt een dergelijke opzegging plaats kort na
de faillietverklaring. De opzegging van de arbeidsovereenkomst is nodig om de onderneming
uiteindelijk te vereffenen en aldus het faillissement behoorlijk af te wikkelen. Onder
deze grond valt ook het verwerken van gegevens om daarmee de betrokken werknemers
te informeren over de beëindiging van hun arbeidsovereenkomst en het UWV op de hoogte
te stellen.Onderdeel c ziet op de fraudesignalerende rol van de curator en de vervolgstappen
die hij – overeenkomstig artikel 68, tweede lid, Fw – zal moeten nemen als hij in
het faillissement onregelmatigheden signaleert. Het is staande praktijk dat een curator
in het kader van zijn algemene taak betreffende het beheer en de vereffening van de
boedel, onderzoek doet naar de oorzaken van het faillissement. In dat verband beziet
hij bijvoorbeeld of de administratie behoorlijk is bijgehouden en of de bestuurder
in de aanloop van het faillissement zorgvuldig heeft gehandeld. Daarbij zal hij vaak
ook te maken krijgen met gegevens betreffende anderen dan de failliet zelf, zoals
familieleden van een gefailleerde natuurlijke persoon, schuldeisers en werknemers
van de onderneming die door de failliet werd gedreven. Signaleert de curator onrechtmatigheden,
dan dient hij de rechter-commissaris daarover te informeren. Zo nodig, bijvoorbeeld
wanneer er sprake is van vermoedens van fraude, meldt de curator dit bij het Openbaar
Ministerie. De verwerking van de genoemde gegevens is dan nodig om gevolg te kunnen
geven aan de fraudesignalerende rol.
Onderdeel d ziet op de faillissementsverslagen die de curator ingevolge de artikelen 73a,
137 en 137d Fw opstelt, uitbrengt en ter griffie neerlegt gedurende het faillissement
en na afloop van de verificatievergadering. Daarin geeft de curator een overzicht
van zijn activiteiten in het kader van het beheer en vereffening van de boedel, zoals
geïnde vorderingen, verrichte transacties en ingewonnen informatie. Het opstellen,
ter griffie neerleggen en het openbaar maken van het verslag is nodig om schuldeisers
en andere belanghebbenden inzicht te geven in de stand van zaken en de voortgang van
het faillissement. Nadat het verslag ter griffie is gedeponeerd door tussenkomst van
de griffier, is het verslag doorgaans via het centrale insolventieregister (CIR) te
raadplegen. Daarnaast plaatst de curator in de praktijk ook vaak het verslag op een
website. Het kan, afhankelijk van de omstandigheden, nodig zijn om in het verslag
tot personen herleidbare gegevens op te nemen, bijvoorbeeld wanneer het gaat om de
vermelding van de personen die bestuurder zijn bij een gefailleerde vennootschap.
De schuldeisers hebben belang bij het antwoord op de vraag of de vennootschap in aanloop
naar het faillissement behoorlijk is bestuurd en zo nee, of de curator een bestuurder
aansprakelijk gaat stellen en of de verwachting is dat er hierdoor nog geld in de
boedel zal vloeien. Ook kan relevant zijn voor schuldeisers en eventueel de aandeelhouders,
welke (andere) schuldeisers en aandeelhouders vorderingen hebben. Op basis van deze
informatie kunnen zij een inschatting maken van hun eigen positie. Ook kunnen zij
dan eventueel contact hebben met die andere schuldeisers en aandeelhouders, bijvoorbeeld
in het geval dat er een faillissementsakkoord is voorbereid. Om zijn positie ten aanzien
van het akkoord te bepalen, kan het voor de schuldeiser relevant zijn om voorafgaand
aan de stemming te weten hoe andere schuldeisers of aandeelhouders oordelen over het
akkoord. Het is aan de curator om per zaak goed te bekijken of het nodig is persoonsgegevens
in een openbaar verslag op te nemen en zo ja, welke persoonsgegevens in het verslag
moeten worden opgenomen.
Naast het opnemen van een verslag in het CIR door de griffier, publiceert de curator
vaak nog een faillissementsverslag op zijn website. Dat is ook mogelijk en kan een
laagdrempelige manier zijn om schuldeisers over het faillissement te informeren. Een
beperking zit in de duur waarop het verslag openbaar kan zijn: deze periode moet redelijk
zijn. Daaronder wordt in ieder geval begrepen de periode waarin het faillissement
loopt. Daarmee is voldoende duidelijk dat de wet een grondslag biedt voor publicatie
van een verslag dat voldoende inzicht geeft over de aard, omvang en afwikkeling van
het faillissement. Ook in de literatuur is voor een dergelijke grondslag gepleit.57 Er wordt geen absolute termijn opgenomen, om de regeling voldoende flexibel te houden
en recht te doen aan de omstandigheden van het geval. Hierbij geldt dat de curator
vanzelfsprekend niet verantwoordelijk kan worden gehouden voor het gebruik van verslagen
door derden die dergelijke verslagen – onverhoopt – nog beschikbaar houden, ook als
dat langer blijkt dan de hiervoor genoemde redelijke periode.
Onderdeel e ziet op de verplichting van de curator om de schuldeiserscommissie informatie
te verstrekken en de mogelijkheid (of in een aantal gevallen eveneens de verplichting)
om de schuldeiserscommissie advies te vragen (artikelen 76 en 77 Fw). Deze inlichtingen
heeft de schuldeiserscommissie nodig om haar taak van advies aan en toezicht op de
curator te kunnen vervullen. Denk daarbij aan het verplichte advies dat de curator
moet inwinnen als hij het bedrijf van de failliet na de faillietverklaring nog even
wil voortzetten. Bij een dergelijke adviesaanvraag, zal de curator de commissie ook
bepaalde inlichtingen moeten verstrekken. Het kan nodig zijn om hierbij persoonsgegevens
te verstrekken, bijvoorbeeld de namen van de bestuurders van de onderneming of de
namen van bepaalde schuldeisers. Deze verstrekking is nodig om de schuldeiserscommissie,
die de belangen van schuldeisers behartigt, te informeren en in staat te stellen een
advies uit de brengen. Voor de volledigheid wordt nog opgemerkt dat de grond voor
gegevensverwerking door de schuldeiserscommissie zelf voldoende volgt uit de in artikel 74
Fw opgenomen taakomschrijving, om de curator van advies te dienen, alsmede de onder
andere in artikel 76 Fw genoemde bevoegdheden om die taak uit te oefenen.
In onderdeel f is gegevensverwerking in het kader van bewaring van de bescheiden,
en andere gegevensdragers en overige in artikel 92 Fw genoemde stukken geregeld. De
curator moet na de faillietverklaring het beheer over de boedel overnemen van de failliet.
Onderdeel hiervan is het bewaren van stukken en gegevensdragers van de failliet, bijvoorbeeld
de bedrijfsadministratie en klantenbestanden. Dit is nodig om bijvoorbeeld op een
later moment onderzoek te kunnen doen naar de oorzaken van het faillissement of om
bepaalde vorderingen van schuldeisers te kunnen controleren. Wanneer het faillissement
is afgewikkeld, kunnen de bescheiden terug naar de failliet dan wel de voormalige
bestuurders van de failliet.
Onderdeel g ziet op het opmaken en ter griffie neerleggen van de boedelbeschrijving
en de staat van baten en lasten. Op grond van de artikelen 94, 96 en 97 Fw is de curator
gehouden de boedelbeschrijving, vorderingen en schulden te beschrijven. Denkbaar is
dat hierin persoonsgegevens zijn opgenomen, zoals de naam van een natuurlijk persoon
die schuldeiser of schuldenaar is van de failliet. Deze verwerking is nodig om uiteindelijk
de boedel goed in kaart te brengen, met het oog op de verdere afwikkeling en vereffening.
Onderdeel h ziet op de situatie dat het bedrijf van de failliet tijdens het faillissement
wordt voortgezet. Dat kan in voorkomende gevallen in het belang zijn van de boedel,
bijvoorbeeld omdat in de tussentijd met potentiële kopers van de onderneming wordt
gesproken. Wanneer de onderneming als geheel wordt verkocht, levert dit vaak meer
op voor de schuldeisers. Ook is denkbaar dat het loont om nog enkele weken verder
te gaan, omdat de voorraad dan nog kan worden gebruikt om producten te maken die vervolgens
weer kunnen worden verkocht. Dit is aangewezen als dit uiteindelijk meer oplevert
dan de losse verkoop van de ruwe materialen. Ook dit is in het belang van de boedel.
Deze grond van verwerking ziet op alle verwerkingen binnen de bedrijfsvoering. Daarbij
is het mogelijk dat bestaande activiteiten van het bedrijf, bijvoorbeeld verkoop van
consumentengoederen, worden voortgezet. Bij het verwerken van orders en het uitleveren
hiervan zullen persoonsgegevens worden verwerkt. Dit is in het kader van onderdeel h
toegestaan.
Onderdeel i noemt de vervreemding van goederen aan derden, bedoeld in artikel 101
Fw en de (voorbereidingen voor) de verkoop van (onderdelen van) het bedrijf van de
gefailleerde. Het gaat hier om de verkoop van goederen uit de inboedel. Goederen omvatten
zaken en vermogensrechten. Hiervoor is in voorkomende gevallen verwerking van gegevens
nodig, zoals de gegevens van de kopende partij.
De losse verkoop van een gegevensdrager met klantenbestanden zal niet onder dit onderdeel
vallen. Voor deze overdracht is een aparte grond nodig, zoals toestemming. Er is namelijk
sprake van verdere verwerking voor een ander, niet-verenigbaar doel, waarvoor de gegevens
oorspronkelijk waren verzameld.58 Denk aan het geval dat een elektronicazaak failliet gaat en een derde partij, ook
een elektronicazaak, de dienstverlening in het kader van garantieverlening wil overnemen
om daarmee nieuwe klanten te werven. In dit geval zou de curator klanten kunnen benaderen
om te vragen toestemming te verlenen hun gegevens aan de derde partij te verstrekken.
Deze toestemming moet voldoen aan de eisen van de AVG. Zo moet de toestemming vrijelijk
en uitdrukkelijk worden gegeven en moet de toestemming ook kunnen worden ingetrokken
(vgl. artikel 7 AVG).
Onderdeel i verduidelijkt tevens dat ook de overdracht van het bedrijf aan derden
hieronder is begrepen, met inbegrip van alle voorbereidingshandelingen. Bij deze overdracht
kunnen bijvoorbeeld ook klantenbestanden worden overgedragen, die nodig zijn om de
dienstverlening van het bedrijf te kunnen voortzetten. Hieronder valt ook het tevoren
laten inzien van deze gegevens aan een potentiële koper. Dat is mede naar aanleiding
van een aantal consultatiereacties verduidelijkt in de bepaling. Verwerking kan voor
de ontvangende partij – de koper – doorgaans op artikel 6, eerste lid, onderdeel b,
AVG worden gebaseerd. Hij verkrijgt de gegevens immers krachtens overeenkomst met
de curator. Deze verstrekking van gegevens aan de koper is ook in het belang van de
klant van het failliete bedrijf en vanzelfsprekend voor diens werknemers. Voor de
verstrekkende partij, de curator, is het gerechtvaardigd dat deze gegevens mogen worden
verwerkt, om een zo hoog mogelijke opbrengst in faillissement te bereiken en de schade
voortvloeiend uit faillissement te beperken. Het kan ook in het belang van de werkgelegenheid
zijn als een onderneming wordt overgenomen en kan worden voortgezet. De gegevens van
de klant gaan vaak via contractsovername over op de andere partij, maar ook overdracht
aan de andere partij op andere wijze is mogelijk. De klant wordt hierover geïnformeerd
en krijgt vaak de keuze om akkoord te gaan of bezwaar te maken.59
Het voorbereiden en vorderen van een bestuursverbod bij de rechter is in onderdeel j
genoemd. Artikel 106a Fw regelt de bevoegdheid voor de curator om onder omstandigheden
een bestuursverbod te vorderen. Het gaat op basis van artikel 106a, eerste lid, Fw
om gevallen waarin de betrokken bestuurder aansprakelijk is gesteld voor schade ontstaan
door zijn handelen bij de rechtspersoon (onderdeel a), zich schuldig heeft gemaakt
aan schuldeisersbenadeling (onderdeel b), ernstige tekort is geschoten in verplichtingen
richting curator (onderdeel c), in korte tijd betrokken is geweest bij meerdere faillissementen
en hem daarbij een persoonlijk verwijt kan worden gemaakt (onderdeel d) of zich schuldig
heeft gemaakt aan fiscale vergrijpen als bedoeld in de artikelen 67d–67f Fw. Verwerking
van persoonsgegevens is nodig om het bestuursverbod bij de rechtbank te kunnen vorderen.
Doel is het tegengaan van aperte onregelmatigheden in of rondom een faillissement,
zoals ernstige tegenwerking van de curator, faillissementsrecidive en de benadeling
van crediteuren voorafgaand aan een faillissement. Dat zijn algemene belangen die
met het vorderen van een bestuursverbod worden behartigd. Ook in dit verband is het
de curator toegestaan om persoonsgegevens te verwerken, als dat nodig is.
Onderdeel van de faillissementsprocedure betreft het indienen van schuldvorderingen
en het opmaken van de lijst van vorderingen. Onderdeel k noemt dit. Op basis van de
lijst van vorderingen kan namelijk de opbrengst in faillissement worden verdeeld.
Deze lijst wordt ter griffie bij de rechtbank gedeponeerd. Zo nodig kan deze lijst
door de curator ook worden openbaar gemaakt, om transparant te maken welke schuldeiser
waar recht op heeft. Vaak zullen schuldeiseres rechtspersonen zijn, maar dat is zeker
niet altijd het geval. De wet biedt voorts de mogelijkheid voor schuldeisers om zich
uit te spreken over vorderingen van anderen, bijvoorbeeld door deze te betwisten (zie
artikel 119 Fw). De lijsten kunnen persoonsgegevens omvatten. Om schuldeisers in de
gelegenheid te stellen dit recht daadwerkelijk uit te oefenen, is het nodig dat lijsten
met vorderingen worden neergelegd ter griffie of in het CIR worden opgenomen.
Onderdeel l ziet op het onderzoeken van ingediende schuldvorderingen door de curator.
Ten behoeve van dit onderzoek toetst de curator de ingezonden rekeningen aan de administratie
en opgaven van de failliet. Als de curator bezwaar heeft tegen de toelating van een
vordering, bijvoorbeeld omdat deze onduidelijk of onvolledig is, overlegt hij daarover
met de schuldeiser. In dat kader kan de curator van de schuldeiser overlegging van
ontbrekende stukken vorderen en de administratie en oorspronkelijke bewijsstukken
van de schuldeiser inzien. De curator moet dit onderzoek naar de deugdelijkheid van
ingediende vorderingen goed kunnen uitvoeren. Daartoe is nodig dat de curator persoonsgegevens
kan verwerken die voorkomen in de administratie en opgaven van de failliet en de administratie
en andere stukken van de schuldeiser. Op deze manier kan de curator op een daadwerkelijk
de aard, het bedrag en eventueel de verbonden voorrang van een vordering vaststellen
en uiteindelijk de lijst van vorderingen opstellen.
Onderdeel m regelt het volgende. Het komt vaak voor dat het vermogen van een gefailleerd
bedrijf of een gefailleerde natuurlijk persoon te weinig boedelactiva omvat om alle
(concurrente) schuldeisers te voldoen. In dat geval vindt een vereenvoudigde afwikkeling
plaats van het faillissement overeenkomstig de artikelen 137a Fw en verder. Er is
dan geen verificatievergadering (artikel 137a, eerste lid, Fw). In plaats hiervan
inventariseert de curator de vorderingen die bevoorrecht zijn of door pand of hypotheek
worden gedekt (artikel 137b Fw) en maakt hij te gelde wat er nog in de boedel zit
(artikel 137c Fw). Hierover wordt een uitdelingslijst en een verslag van de stand
van de boedel opgesteld. Deze uitdelingslijst en het verslag over de toestand van
de boedel wordt ter griffie neergelegd. In bepaalde gevallen wordt deze uitdelingslijst
ook openbaar, door bijvoorbeeld publicatie op een website. Verwerking van persoonsgegevens
is hier nodig om schuldeisers inzicht te geven in hoe de boedel (vereenvoudigd) is
afgewikkeld. Ook hier zal in voorkomende gevallen openbaarmaking door neerlegging
ter griffie of opname in het CIR aan de orde kunnen zijn. Dit is voor schuldeisers
bijvoorbeeld nodig om te beoordelen of en zo ja wanneer zij uitkering op hun vordering
kunnen verwachten. Concreet zouden op de lijst de namen van schuldeisers genoemd kunnen
worden.
In onderdeel n is geregeld dat de verwerking van persoonsgegevens nodig is in het
kader van de advisering en informatievoorziening omtrent het faillissementsakkoord.
Dit akkoord kan de schuldenaar voorstellen om een faillissement te beëindigen. Schuldeisers
nemen dan genoegen met een bepaald percentage van hun vordering. De curator geeft
advies over dit voorstel. Voorts wordt het akkoord neergelegd ter griffie of opgenomen
in het CIR. Daarbij kunnen bijvoorbeeld namen worden opgenomen, om de schuldeisers
te identificeren. Deze verwerkingen zijn nodig om schuldeisers goed te kunnen informeren.
In voorkomende gevallen kan dit ook openbaar worden gemaakt, bijvoorbeeld door publicatie
op een website.
In aanvulling op bovenstaande lijst is in onderdeel o een grondslag opgenomen om bij
of krachtens algemene maatregel van bestuur handelingen of taken aan te wijzen in
het kader waarvan de curator gegevens kan verwerken.
Derde lid
De curator heeft in de praktijk regelmatig te maken met bijzondere categorieën van
persoonsgegevens of gegevens van strafrechtelijke aard en nummers die dienen ter identificatie
van personen, zoals het bsn. Volgens artikel 46 UAVG mogen deze gegevens en nummers
slechts gebruikt worden ter uitvoering van een wet, dan wel, bij wet bepaalde doeleinden.
Niet in alle gevallen die in het vorige lid zijn opgenomen is het verwerken van bovenstaande
categorieën van persoonsgegevens nodig. Zo zou het opnemen hiervan in het faillissementsverslag
dat in het CIR terecht komt, geen redelijk doel dienen. Bovendien is verwerking van
deze persoonsgegevens op grond van artikel 9 AVG alleen toegestaan als sprake is van
een zwaarwegend algemeen belang. Er moet dan sprake zijn van meer specifieke belangen
die, gelet op de mogelijke maatschappelijke gevolgen als daarmee geen rekening wordt
gehouden, dermate zwaarwegend zijn dat gegevensverwerking op basis van artikel 9 AVG
is toegestaan. Dat gaat in beginsel verder dan dat een bepaalde gegevensverwerking
in het belang is van de gezamenlijke schuldeisers. Het moet gaan om verwerkingen zonder
welke het faillissement niet kan worden afgewikkeld of er ernstig nadeel optreedt
voor de gezamenlijke schuldeisers. Het kan bijvoorbeeld gaan om verwerking van gegevens
betreffende de administratie of het inventariseren van de schulden. Zonder deze handelingen
kan geen compleet overzicht worden opgesteld van de uitstaande schulden en vorderingen
en kan het faillissement niet naar behoren worden afgewikkeld. Het kan ook gaan om
zwaarwegende belangen zoals het kunnen behouden van een aanzienlijke omvang werkgelegenheid
of het borgen van de continuïteit van bepaalde vitale maatschappelijke dienstverlening,
zoals het geven van onderwijs. Denk aan de situatie dat leerlingdossiers in een failliete
onderwijsinstelling niet kunnen worden overgedragen aan een andere onderwijsinstelling,
waardoor leerlingen gedurende enige tijd scholing zou worden onthouden
De lijst, die verwijst naar de opsomming van het vorige lid, bevat verwerkingen van
bijzondere categorieën van persoonsgegevens, gegevens van strafrechtelijke aard en
nummers die dienen ter identificatie van personen en is beperkt tot die gevallen waarin
het voorstelbaar is dat de curator deze gegevens en nummers noodzakelijkerwijs dient
te verwerken om zijn wettelijke taken naar behoren te kunnen uitvoeren. Het is vervolgens
aan de curator om per geval te beoordelen of verwerking van de bijzondere gegevens
inderdaad noodzakelijk is. Deze verschillende onderdelen worden hieronder nader toegelicht
en besproken.
(onderdeel a)
Bij de opening van brieven en telegrammen is het denkbaar dat kennis wordt genomen
van bijzondere persoonsgegevens. Denk aan brieven die aan de gefailleerde zijn gericht
en strafrechtelijke gegevens omvatten, bijvoorbeeld een boete die per post binnenkomt.
Daarnaast kan in dergelijke stukken, zoals een brief van een zorgverzekeraar die per
post wordt ontvangen, een bsn zijn opgenomen. Het openen en kennis nemen van bijzondere
gegevens is noodzakelijk om de lijst van vorderingen op te stellen of te controleren.
Dit is van wezenlijk belang voor het goede verloop van het faillissementsproces.
(onderdeel c)
Allereerst is de verwerking van bijzondere categorieën gegevens nodig om de curator
voldoende mogelijkheden te geven onregelmatigheden te onderzoeken en te signaleren.
Daarnaast kan de curator, in het kader van het onderzoek naar onregelmatigheden, melding
doen aan de rechter-commissaris en eventueel aangifte doen bij het Openbaar ministerie.
Verder is denkbaar dat de curator het bsn van de failliet, moet kunnen verwerken bij
het melden aan bevoegde autoriteiten van onregelmatigheden in het faillissement. Daarmee
wordt het bijzondere belang gediend van het tegengaan van fraude en onrechtmatig gedrag.
(onderdeel f)
Verder moet de curator volgens de wet gegevensdragers bewaren, bijvoorbeeld om onderzoek
te doen naar de deugdelijkheid van de administratie van de failliet. Ook op deze gegevensdragers
kunnen soms bijzondere gegevens en nummers die dienen ter identificatie zijn opgenomen.
Ook kan het nodig zijn dat de curator bepaalde gegevensdragers bewaart die strafrechtelijke
gegevens bevatten. Het verwerken van bijzondere gegevens is in dit geval noodzakelijk,
omdat anders niet kan worden voldaan aan de kerntaak: het beheer- en de vereffening
van de boedel. Hiervoor is namelijk nodig dat alle schulden en eventueel openstaande
vorderingen kunnen worden geïnventariseerd.
(onderdeel h)
Voor de taak genoemd in onderdeel h geldt het volgende. Als de failliet een bedrijf
voerde, kan de curator te maken krijgen met een werknemersbestand. Hierin is meestal
ook informatie opgenomen over de gezondheid van werknemers zoals ziekmeldingen. Het
kan dan nodig zijn dat ook deze gegevens door de curator worden verwerkt. Dit speelt
bijvoorbeeld als hij het bedrijf nog even voortzet of verkoopt en vervolgens overdraagt
aan derden. In dit geval is het nodig dat de derde die het bedrijf overneemt en voortzet
ook beschikt over een juist en volledig personeelsbestand van de werknemers die in
het overgenomen bedrijf werkzaam zijn. Zonder deze informatie kan een overname feitelijk
niet plaatsvinden en kan werkgelegenheid onnodig verloren gaan. Dat is een zwaarwegend
belang dat verwerking van bijzondere persoonsgegevens kan rechtvaardigen. Met uitzondering
van gegevens over ziekmeldingen («dat een werknemer ziek is»), hebben curatoren, de
eventueel overnemende bedrijven en anderen geen recht op toegang tot de gezondheidsgegevens
van werknemers.60 Toegang tot medische gegevens is immers voorbehouden aan daartoe bevoegd medisch
personeel; ook in de consultatie werd hier op gewezen.61 Dergelijke informatie is immers niet nodig voor het beheer en de vereffening. Voorts
kan de verwerking van persoonsgegevens van strafrechtelijke aard nodig zijn bij de
voortzetting of verkoop van de onderneming. Zo kan de personeelsadministratie bijvoorbeeld
een berisping of schorsing van een werknemer wegens diefstal bevatten. Daarnaast heeft
een failliet, indien deze een onderneming met werknemers drijft, de beschikking over
de bsn van zijn werknemers. Ook de curator moet dan over deze gegevens kunnen beschikken,
bijvoorbeeld in het kader van de voortzetting of overdracht van het bedrijf. Zonder
deze informatie is voortzetting van de onderneming niet goed mogelijk en kan dit aanzienlijke
nadelige gevolgen hebben voor de betrokkenen bij het faillissement, waaronder de schuldeisers.
Het zou tevens kunnen leiden tot onnodig verlies van werkgelegenheid.
(onderdeel j)
Daarnaast is de verwerking van bijzondere gegevens noodzakelijk wanneer de curator
een bestuursverbod gaat vorderen. Het vorderen van een bestuursverbod dient een zwaarwegend
belang, namelijk het tegengaan van faillissementsfraude en onregelmatigheden. Uit
de bestuursfuncties van een betrokkene kan immers blijken dat de betrokkene lid is
van een vakbond of een kerkgenootschap. Dit zijn bijzondere gegevens volgens artikel 9
AVG. Daarnaast is voorstelbaar dat gegevens van strafrechtelijke aard en nummers die
dienen ter identificatie van personen worden verwerkt bij het voorbereiden of vorderen
van een bestuursverbod overeenkomstig artikel 106a, eerste lid, onder e, Fw. De rijksbelastingdienst
kan deze gegevens verstrekken. Het spreekt voor zich dat de curator deze gegevens
alleen mag gebruiken voor zover noodzakelijk voor het vorderen (doelbinding) en bijvoorbeeld
niet mag publiceren in het kader van het verslag dat hij periodiek uitbrengt. In dat
verslag kan uiteraard wel het nodige worden opgemerkt over eventuele mogelijkheden
tot het aansprakelijk stellen van de bestuurder.
(overdracht van gegevens in onderdeel f)
Tot slot is in het derde lid, onder a, een nieuwe taak opgenomen voor de curator en
een bevoegdheid tot het verwerken van persoonsgegevens, met inbegrip van bijzondere
persoonsgegevens. Het gaat om de overdracht van bescheiden en andere gegevensdragers
en overige stukken. Dit zijn dezelfde gegevens als die genoemd zijn in het tweede
lid, onder f. Daar gaat het alleen om het bewaren en onder zich nemen van deze gegevens.
In de praktijk is het nodig dat bescheiden en andere gegevensdragers en overige stukken
die persoonsgegevens of bijzondere persoonsgegevens bevatten, ook kunnen worden overgedragen,
omdat dat in het kader van een dringend maatschappelijk belang is vereist. Het kan
bijvoorbeeld gaan om de overdracht van medische dossiers van een psychotherapiepraktijk
aan een andere psychotherapiepraktijk zodat patiënten niet zonder zorg komen te zitten.
Een ander denkbaar voorbeeld is de overdracht van een leerlingenbestand als een school
tijdens het schooljaar failliet gaat. De bestanden moeten dan kunnen worden overgedragen
aan een andere school, zodat de leerlingen hun schooljaar aldaar kunnen voortzetten.
De curator heeft geen recht op inzage in de dossiers.62 Deze grondslag om bescheiden en andere gegevensdragers en overige stukken die persoonsgegevens
bevatten over te dragen, betreft een restcategorie. Als een andere wet regelt hoe
deze stukken door de curator moeten worden overgedragen, geldt die wet en niet de
voorliggende algemene regeling in de Fw. Zo is de situatie waarin de curator medische
dossiers overdraagt, geregeld in artikel 30b UAVG. Dit artikel krijgt dan voorrang
boven de Fw. Zie hierover nader artikel I, onderdeel M en de toelichting daarop.
De passende en specifieke maatregelen en waarborgen die op grond van de artikelen 9,
tweede lid, onder g, en 10 AVG tegelijkertijd met het creëren van een uitzondering
op het verbod van artikel 9, eerste lid, alsmede artikel 10 AVG dienen te worden getroffen
ter bescherming van de grondrechten en de fundamentele belangen van betrokkene, zijn
onder meer gelegen in het feit dat de curator door de rechter wordt benoemd, op basis
van ervaring en expertise. Voorts valt onder de algemene plicht van de curator om
zorgvuldig met persoonsgegevens om te gaan en te handelen in het belang van de gezamenlijke
schuldeisers. De curator behartigt geen individuele belangen en houdt bij zijn taakvervulling
rekening met zwaarwegende maatschappelijke belangen. De rechter-commissaris houdt
toezicht op de curator. De schending van de hiervoor genoemde algemene plicht om zorgvuldig
met gegevens om te gaan kan onder omstandigheden leiden tot ontslag van de curator
op grond van artikel 73 Fw. In dit verband zijn ook de praktijkregels van INSOLAD,
de vereniging voor insolventierecht advocaten, relevant. Artikel 1.1 van deze praktijkregels
bepaalt onder meer dat de curator onafhankelijk en integer is en betamelijk handelt.
Artikel 8.3 werkt verder uit dat de curator zoveel mogelijk vermijdt kennis te nemen
van feiten en omstandigheden die de hoogstpersoonlijke levenssfeer van de gefailleerde
of derden betreffen. Dergelijke feiten en omstandigheden maakt hij in het algemeen
niet openbaar. Dit kan anders zijn indien het belang van de boedel dit vergt en dat
belang prevaleert wanneer dit wordt afgewogen tegen het belang van de betrokkene om
zijn persoonsgegevens niet geopenbaard te zien. Bovendien houdt ook de AP toezicht
op de naleving van de AVG. Deze autoriteit kan zo nodig handhavend optreden, onder
meer door een dwangsom of een boete op te leggen.
Onderdeel B (artikel 215b)
Eerste en tweede lid
In de consultatie is er op gewezen dat ook voor de bewindvoerder in surseance een
bepaling wenselijk is. Naar aanleiding hiervan is een bepaling opgesteld voor gegevensverwerking
door de bewindvoerder in surseance van betaling. De opbouw van deze bepaling sluit
aan bij die van het artikel voor de curator in faillissement (zie onderdeel A). Kort
gezegd is in het eerste lid de algemene bepaling gegeven voor de bewindvoerder om
gegevens te verwerken in het kader van zijn wettelijke taak. Ook deze bevoegdheid
tot gegevensverwerking is gebaseerd op de taak van algemeen belang die rust op de
bewindvoerder, bestaande uit het bijstaan van de schuldenaar en het goed laten verlopen
van de surseanceprocedure. Tevens geldt dat met de termen «bij of krachtens de wet»
wordt gedoeld op de artikelen die in de Fw zijn opgenomen waarbij een taak aan de
bewindvoerder in surseance wordt toegekend of hem een verplichting wordt opgelegd
respectievelijk bevoegdheid wordt toegekend. Het gaat dan bijvoorbeeld om het aankondigen
in de Staatscourant (zie de artikelen 223, 256, 264, 268a, 272, 276 en 277 Fw) en
om de verzoeken aan de rechter-commissaris (zie bijvoorbeeld artikel 223b Fw) of de
rechtbank (zie bijvoorbeeld de artikelen 225, 230, tweede lid, en 281b Fw). Ook het
schriftelijk informeren van schuldeisers kan hieronder worden begrepen (zie de artikelen 269b
en 270 Fw). Tot slot valt hieronder tevens het bij brief oproepen van de leden der
commissie als bedoeld in artikel 281e Fw.
In het tweede lid is vervolgens een specifieke lijst opgenomen met handelingen waarbij
de bewindvoerder persoonsgegevens mag verwerken. Onderdeel a ziet op de verplichting
van de bewindvoerder om verslag uit te brengen en ter griffie neer te leggen ingevolge
artikel 227 Fw. In het verslag geeft de bewindvoerder een overzicht van de samenstelling
en de omvang van de boedel. Nadat het verslag ter griffie is gedeponeerd door tussenkomst
van de griffier, is het verslag doorgaans via het CIR te raadplegen. Daarnaast plaatst
de bewindvoerder in de praktijk ook vaak het verslag op een website. Het kan, afhankelijk
van de omstandigheden, nodig zijn dat in het verslag tot personen herleidbare gegevens
zijn opgenomen. Dit zijn bijvoorbeeld gegevens over de schuldenaar. De openbaarmaking
van het verslag is nodig omdat dit schuldeisers, de rechter-commissaris en de rechtbank
in staat stellen kennis te nemen van de stand van de boedel. Met deze informatie kunnen
bijvoorbeeld schuldeisers beoordelen of zij gebruik kunnen maken van hun rechten.
Anders dan in faillissement kan de schuldenaar in surseance van betaling met medewerking
van de bewindvoerder handelingen verrichten (artikel 228 Fw). Indien de schuldenaar
handelt zonder die vereiste medewerking, heeft de bewindvoerder de bevoegdheid alles
te doen wat wordt vereist om de boedel schadeloos te houden. Hier ziet onderdeel b
op. Bij het schadeloos houden, kan het bijvoorbeeld gaan om het terugvorderen van
een zaak of het vernietigen van een door de schuldenaar verrichte kwijtschelding.
Hierbij kunnen ook gegevens over personen aan de orde zijn. Denk aan informatie over
de bezitter van een zaak die de bewindvoerder wil terugvorderen of informatie over
degene tegen wie kwijtschelding is verleend. Deze verwerking is nodig ter bescherming
van de belangen van de schuldeisers, en ziet er in het bijzonder op dat zij niet benadeeld
worden door handelingen van de schuldenaar.
Onderdeel c regelt het intrekken van de surseance van betaling. Artikel 242 Fw geeft
een opsomming van situaties waarin de bewindvoerder de rechtbank kan of moet verzoeken
om intrekking van de surseance van betaling. Het gaat om situaties die zien op het
handelen of nalaten van de schuldenaar en situaties die de toestand van de boedel
betreffen. Alvorens de bewindvoerder kan beoordelen of een verzoek ingediend kan of
moet worden, dient de bewindvoerder eerst onderzoek te kunnen doen naar de omstandigheden
omschreven in artikel 242 Fw. In een dergelijk onderzoek kunnen gegevens over personen
aan de orde zijn. De verwerking van gegevens is in dit geval nodig om te zorgen dat
de belangen van de schuldeisers worden beschermd, en dat de surseance beëindigd kan
worden indien bijvoorbeeld de schuldenaar heeft getracht zijn schuldeisers te benadelen
(zie artikel 242, eerste lid, onder 2, Fw).
Onderdeel d verwijst naar artikel 258 Fw dat het onderzoek van de bewindvoerder naar
de deugdelijkheid van de ingediende vorderingen regelt. Hierbij toetst de bewindvoerder
de ingezonden rekeningen aan de administratie en opgaven van de schuldenaar. Als de
bewindvoerder bezwaar heeft tegen de toelating van een vordering, overlegt hij daarover
met de schuldeiser. In dat kader kan de bewindvoerder ook van de schuldeiser overlegging
van ontbrekende stukken vorderen en de administratie en oorspronkelijke bewijsstukken
van de schuldeiser raadplegen. De bewindvoerder moet dit onderzoek naar de deugdelijkheid
van ingediende vorderingen goed kunnen uitvoeren. Daartoe is nodig dat de bewindvoerder
persoonsgegevens kan verwerken die voorkomen in de administratie en opgaven van de
schuldenaar en de administratie en andere stukken van de schuldeiser. Aldus wordt
de bewindvoerder in staat gesteld de omvang van de vorderingen te bepalen en de lijst
van vorderingen op te stellen. Deze verwerking is nodig om de procedure goed te laten
verlopen en de belangen van de schuldeisers te beschermen.
Onderdeel e ziet op de lijst van vorderingen. Eén van de taken van de bewindvoerder
in surseance van betaling is het opmaken van de lijst van erkende en betwiste vorderingen.
Artikel 263 Fw verplicht de bewindvoerder deze lijst uiterlijk zeven dagen voor de
vergadering over het surseanceakkoord ter griffie kosteloos voor eenieder ter inzage
te leggen. Zo nodig kan de ook de bewindvoerder deze lijst openbaar maken, door bijvoorbeeld
publicatie op een website. Zo kunnen schuldeisers zich voorbereiden op de vergadering
en besluiten of zij ter vergadering vorderingen van andere schuldeisers zullen betwisten
(zie artikel 266 Fw). Het is denkbaar dat hier verwerking van persoonsgegevens aan
de orde is, bijvoorbeeld wanneer een natuurlijk persoon een vordering heeft. Verwerking
van gegevens is nodig voor het goede verloop van de procedure, en in het bijzonder
om schuldeisers te informeren over de staat van de boedel.
In onderdeel f is de schriftelijke verslaglegging door de bewindvoerder tijdens de
vergadering over het aangeboden akkoord geregeld. Verwerking van persoonsgegevens
is hierbij nodig om de betrokken schuldeisers – doorgaans per brief – kennis te laten
nemen van het schriftelijk verslag over het aangeboden akkoord.
In aanvulling op bovenstaande lijst is in onderdeel g een grondslag opgenomen om bij
of krachtens algemene maatregel van bestuur handelingen of taken aan te wijzen in
het kader waarvan de bewindvoerder in surseance van betaling gegevens kan verwerken.
Derde lid
De bewindvoerder in surseance heeft in de praktijk te maken met bijzondere categorieën
van persoonsgegevens en gegevens van strafrechtelijke aard. Verwerking van bovenstaande
categorieën van persoonsgegevens is niet bij elke gespecificeerde taak van de bewindvoerder
nodig, zoals bij de verslagen of bij het opmaken van een lijst van vorderingen. Omdat
de verwerking van deze persoonsgegevens risico’s met zich brengt, is de lijst beperkt
tot een geval waarin het voorstelbaar is dat de bewindvoerder deze gegevens noodzakelijkerwijs
dient te verwerken om diens wettelijke taak naar behoren te kunnen uitoefenen. Het
gaat om de taak die onder c is opgenomen: het verzoek, bedoeld in artikel 242.
In dit geval is wel verwerking van bijzondere of strafrechtelijke persoonsgegevens
nodig. Dit wordt hieronder toegelicht.
(onderdeel c)
In bepaalde situaties kan of moet de bewindvoerder de rechtbank verzoeken om intrekking
van de surseance van betaling. De gronden voor intrekking staan opgesomd in artikel 242
Fw. Bij het onderzoek door de bewindvoerder of van één van deze gronden sprake is
en bij de onderbouwing van een grond voor de rechter, moet de bewindvoerder gegevens
kunnen verwerken, waaronder bijzondere en strafrechtelijke gegevens. Zo kan de schuldenaar
een strafbaar feit hebben gepleegd dat kwalificeert als kwade trouw in de zin van
artikel 242 eerste lid, onder 1, Fw. Ook kunnen bijvoorbeeld gegevens omtrent de gezondheid
van de schuldenaar meebrengen dat de surseance niet langer wenselijk is (zie artikel 242,
eerste lid, onder 5, Fw). Verwerking van dergelijke persoonsgegevens is noodzakelijk
zodat de bewindvoerder een verzoek tot intrekking van de surseance op juiste gronden
en onderbouwd kan instellen. Het kunnen intrekken in geval van bijvoorbeeld fraude
is van wezenlijk belang om het vertrouwen in de surseanceregeling te behouden. Anders
gezegd: het niet kunnen intrekken van de surseance zou kunnen leiden tot ernstig nadeel
van de gezamenlijke schuldeisers en kan daarom als zwaarwegend maatschappelijk belang
worden aangemerkt.
Artikel 9, tweede lid, onder g, en artikel 10 AVG vereisen dat passende en specifieke
maatregelen worden getroffen ter bescherming van de grondrechten en de fundamentele
belangen van de schuldenaar. Deze maatregelen zijn vergelijkbaar met de maatregelen
die gelden voor de curator in faillissement (zie de laatste alinea onder onderdeel A).
De eerste maatregel betreft het feit dat de bewindvoerder in surseance door de rechter
wordt benoemd, op grond van artikel 215, tweede lid, Fw. Ook valt onder de algemene
plicht van de bewindvoerder om zorgvuldig met persoonsgegevens om te gaan. Schending
van deze plicht kan onder omstandigheden leiden tot het ontslag van de bewindvoerder
op grond van artikel 224 Fw. Tot slot houdt ook de AP toezicht op de naleving van
de AVG door de gegevensverwerker, in dit geval de bewindvoerder in surseance. De AP
kan zo nodig handhavend optreden, onder meer door een dwangsom of een boete op te
leggen.
Onderdeel C (artikel 316a)
Eerste en tweede lid
Naar aanleiding van de internetconsultatie wordt voorgesteld om te voorzien in een
bepaling voor gegevensverwerking door de Wsnp-bewindvoerder. Over deze bepaling zijn
Bureau Wsnp en Beroepsvereniging Bewindvoerders Wsnp geconsulteerd. De opbouw van
deze bepaling sluit aan bij die van het artikel voor de curator in faillissement en
voor de bewindvoerder in surseance (zie onderdelen A en B). Kort gezegd is in het
eerste lid de algemene bepaling gegeven voor de Wsnp-bewindvoerder om gegevens te
verwerken in het kader van diens wettelijke taken. In navolging van de bepaling met
betrekking tot de bewindvoerder in surseance, is er hier eveneens voor gekozen om
de taak van algemeen belang die rust op de bewindvoerder de grond te laten zijn voor
zijn bevoegdheid tot gegevensverwerking. Naast het soortgelijke maatschappelijke belang
dat is benoemd in het kader van het faillissement in de toelichting bij onderdeel A,
geldt bij de Wsnp ook nog het belang van de schuldenaar bij het kunnen doorlopen van
het wettelijk schuldsaneringstraject. Het goed doorlopen zorgt immers voor het toekennen
van een schone lei, waardoor de schuldenaar zonder schulden zijn leven weer kan oppakken.
Ook ten aanzien van deze bepaling geldt dat met «op grond van de wet» wordt gedoeld
op de artikelen die in de Fw zijn opgenomen waarbij een taak aan de curator wordt
toegekend of hem een verplichting wordt opgelegd respectievelijk bevoegdheid wordt
toegekend. Hierbij kan worden gedacht aan de voortzetting van de uitoefening van het
beroep of bedrijf door de Wsnp-bewindvoerder (artikel 311 Fw), het uitbrengen van
een verslag aan de rechter-commissaris (artikel 351a Fw), het doen van een verzoek
bij de rechter-commissaris zoals bedoeld in de artikelen 332, 348 en 352 Fw en het
schriftelijk informeren van schuldeisers (artikel 329, zesde lid, Fw). Men kan voorts
denken aan de verwerking van persoonsgegevens in het kader van advisering en informatievoorziening
omtrent het Wsnp-akkoord (zie ook artikel 4.1 van de Recofa-richtlijnen).
In het tweede lid is vervolgens een specifieke lijst opgenomen met handelingen waarbij
de Wsnp-bewindvoerder persoonsgegevens mag verwerken.
Onderdeel a betreft het opzeggen van de arbeidsovereenkomst. Dit is geregeld in artikel 40
Fw voor de curator in faillissement. Door artikel 313 Fw is deze bepaling van overeenkomstige
toepassing voor de regeling van de schuldsanering. Bij het opzeggen van een arbeidsovereenkomst
door de Wsnp-bewindvoerder worden gegevens verwerkt. Zo dient de Wsnp-bewindvoerder
betrokken werknemers te informeren over de opzegging van de arbeidsovereenkomst en
moet het UWV op de hoogte worden gesteld. Het verwerken van gegevens en het opzeggen
van de overeenkomst is nodig om de schulden van de boedel zoveel mogelijk te beperken
en is in die zin nodig om de belangen van de schuldeisers te beschermen.
Een aantal bepalingen uit de regeling voor faillissement over de verificatie van vorderingen
zijn van overeenkomstige toepassing verklaard op de regeling voor de schuldsanering
in artikel 328 Fw. Wat betreft de gegevensverwerking door de Wsnp-bewindvoerder zijn
de artikelen 110, 112 en 114 Fw van belang. Onderdeel b ziet hierop. Het gaat kort
gezegd om het indienen van schuldvorderingen en het opmaken van de lijst van vorderingen.
De opbrengst in het Wsnp-traject kan op basis van deze lijst worden verdeeld. De lijst
van vorderingen wordt ter griffie van de rechtbank gedeponeerd en kan door een ieder
bij de rechtbank worden ingezien (zie artikel 114 Fw). Aldus kunnen schuldeisers te
weten komen waar zij recht op hebben en dit recht eventueel betwisten of de Wsnp-bewindvoerder
om inlichtingen vragen (zie artikel 119 Fw). Daarmee is de verwerking van gegevens
nodig om de schuldeisers goed te kunnen informeren over de stand van de boedel.
Onderdeel c ziet op de verplichting van de Wsnp-bewindvoerder periodiek verslagen
ten behoeve van de rechter en de schuldeisers op te stellen en ter griffie neer te
leggen (artikel 318 Fw). In het bijzonder heeft de Wsnp-bewindvoerder een plicht om
na afloop van de verificatievergadering verslag uit te brengen. Dit laatste is geregeld
in artikel 137 Fw dat geldt in faillissement. In artikel 328 Fw is deze bepaling van
overeenkomstige toepassing verklaard op de regeling voor de schuldsanering. In de
verslagen geeft de Wsnp-bewindvoerder een overzicht over de toestand van de boedel
en vervolgens over de voortgang van het Wsnp-traject. De Wsnp-bewindvoerder legt de
verslagen ter griffie neer. Alle schuldeisers kunnen zo de verslagen kosteloos inzien.
Aldus kunnen schuldeisers inzicht krijgen in de voortgang van de schuldsaneringsregeling.
In het verslag kunnen, afhankelijk van de omstandigheden, tot personen herleidbare
gegevens voorkomen. De Wsnp-bewindvoerder maakt bijvoorbeeld informatie openbaar over
de partner, kinderen, medebewoners of werkgever van de schuldenaar. Deze informatie
is voor schuldeisers van belang omdat zij zo meer duidelijkheid krijgen in of zij
een uitkering of akkoord kunnen verwachten.
Onderdeel d betreft de zogenaamde postblokkade, waartoe de rechter een last geeft.
Om diens wettelijke taken naar behoren te kunnen uitoefenen kan de Wsnp-bewindvoerder
brieven openen. Doorgaans zijn hierbij persoonsgegevens aan de orde, zoals de naam
van de afzender of de inhoud van de brieven, zoals facturen gericht aan de ontvanger.
De postblokkade is nodig omdat dit de kans verkleint dat via de post buiten de Wsnp-bewindvoerder
om betalingen aan de schuldenaar plaatsvinden, of dat aanwijzingen van schuldeisers
omtrent vermogensbestanddelen de Wsnp-bewindvoerder niet zouden bereiken.
In onderdeel e is de verhoging van de beslag vrije voet genoemd. De Wsnp-bewindvoerder
kan de rechter-commissaris verzoeken het bedrag van de beslagvrije voet met een nominaal
bedrag te verhogen. De optelsom van de beslagvrije voet en de eventuele verhogingen
vormen het vrij te laten bedrag. Al het meerdere boven het vrij te laten bedrag moet
worden afgedragen aan de boedel. De Wsnp-bewindvoerder dient te kunnen beoordelen
of een verzoek tot verhoging van de beslagvrije voet op zijn plaats is en zo ja, dit
verzoek te kunnen onderbouwen en de aflossingscapaciteit te kunnen (her)berekenen.
Hiervoor is nodig dat de Wsnp-bewindvoerder inzicht heeft in de financiële verplichtingen
van de schuldenaar, zoals bijvoorbeeld het inkomen van de echtgenoot van de schuldenaar
en de situatie van eventuele kinderen. De verwerking van persoonsgegevens is dus nodig
om te zorgen dat de schuldenaar een bepaald bedrag krijgt om in zijn levensonderhoud
te voorzien.
Onderdeel f betreft de administratie door de Wsnp-bewindvoerder ter zake van ontvangen
gelden op vorderingen van de schuldenaar die niet tot de boedel behoren. Het kan dan
gaan om periodieke uitkeringen die buiten de boedel vallen. Het is denkbaar dat de
Wsnp-bewindvoerder namens en ten behoeve van de schuldenaar een soort budgetbeheer
toepast, om te voorkomen dat de schuldsanering mislukt.63 Bij het ontvangen en administreren van dergelijke gelden kunnen gegevens worden verwerkt.
Bijvoorbeeld wanneer de naam en het rekeningnummer van de betalende partij worden
genoemd in de administratie. Deze verwerking is nodig om het schuldsaneringstraject
goed te laten verlopen.
De gegevensverwerking in het kader van de bewaring van de boedel en het onder zich
nemen van de bescheiden en andere gegevensdragers en overige stukken (zie artikel 323
Fw) door de Wsnp-bewindvoerder, is genoemd in onderdeel g. Na toepassing van de schuldsaneringsregeling,
voert de Wsnp-bewindvoerder het beheer over de boedel. Hieronder valt ook de bewaring
van de boedel en het onder zich nemen van bescheiden en andere gegevensdragers, gelden,
kleinodiën, effecten en andere papieren van waarde tegen ontvangstbewijs van de schuldenaar,
bijvoorbeeld brieven van overheidsinstanties. Deze verwerking is nodig om te voorkomen
dat bepaalde goederen aan de boedel worden onttrokken en op deze manier schuldeisers
worden benadeeld. Wanneer de schuldsanering is afgerond, kunnen de bescheiden terug
naar de schuldenaar.
In onderdeel h wordt onder meer verwezen naar artikel 324 Fw. Dit artikel verklaart
de bepalingen met betrekking tot het faillissement betreffende de boedelbeschrijving
en staat van baten en lasten deels van overeenkomstige toepassing (zie artikel 94,
eerste en tweede lid, en artikel 96 Fw). Aldus is de Wsnp-bewindvoerder verplicht
een boedelbeschrijving op te maken en neer te leggen bij de griffie van de rechtbank.
Daarnaast kan op grond van dit artikel de rechter-commissaris bepalen dat de Wsnp-bewindvoerder
een staat van baten en schulden opmaakt en neerlegt ter griffie. Hierbij kunnen persoonsgegevens
worden verwerkt, bijvoorbeeld de naam van een natuurlijke persoon die schuldeiser
of schuldenaar is. Deze verwerkingen zijn nodig om schuldeisers te informeren over
de staat van de boedel en dienen aldus het goede verloop van de procedure.
In onderdeel i is geregeld dat de Wsnp-bewindvoerder bij de vereffening en tegeldemaking
van goederen die tot te boedel behoren, gegevens mag verwerken. De verkoop van de
goederen geschiedt onderhands, tenzij de rechter-commissaris bepaalt dat de verkoop
in het openbaar zal geschieden. Als de Wsnp-bewindvoerder een goed verkoopt, zal die
ook een koopovereenkomst opmaken. Hierbij kan het zijn dat de Wsnp-bewindvoerder gegevens
verwerkt doordat de naam en gegevens van de koper die een natuurlijk persoon is in
de koopovereenkomst staan opgenomen. Deze verwerking is nodig om te zorgen dat goederen
te gelde kunnen worden gemaakt en er daarmee actief vloeit naar de boedel.
Onderdeel j ziet op het opmaken en ter griffie neerleggen van de uitdelingslijst door
de Wsnp-bewindvoerder. Doorgaans biedt de boedel van de schuldenaar niet genoeg verhaal
voor alle schuldeisers. Als dat het geval is, maakt de Wsnp-bewindvoerder een verdeling.
Van iedere (tussentijdse) uitdeling dient de Wsnp-bewindvoerder een uitdelingslijst
op te maken. Schuldeisers kunnen deze lijst gedurende tien dagen ter griffie van de
rechtbank kosteloos inzien (zie artikel 349, vijfde lid, in verbinding met artikel 183
Fw). Voor schuldeisers is dit van belang, bijvoorbeeld om tegen de uitdelingslijst
in verzet te komen (zie artikel 349, vijfde lid, Fw). In de uitdelingslijst worden
persoonsgegevens genoemd, zoals de namen van de schuldeisers. Deze verwerking is nodig
om schuldeisers goed te kunnen informeren over de stand van de boedel.
Onderdeel k gaat over de beëindiging van een Wsnp-traject door de rechtbank. In het
derde lid van artikel 350 Fw is een opsomming gegeven van situaties waarin een Wsnp-traject
wordt beëindigd. Het gaat om situaties die zien op het handelen of nalaten door de
schuldenaar en situaties die de toestand van de boedel betreffen. De Wsnp-bewindvoerder
kan de rechtbank verzoeken om beëindiging van een Wsnp-traject. Om te beoordelen of
de Wsnp-bewindvoerder een verzoek tot beëindiging wil doen, dient hij onderzoek te
kunnen doen naar de omstandigheden omschreven in het derde lid van artikel 350 Fw.
Ook dient de Wsnp-bewindvoerder een verzoek te kunnen onderbouwen. Bij deze handelingen
moet de Wsnp-bewindvoerder gegevens over de schuldenaar en andere betrokken partijen
kunnen verwerken. Deze verwerking is nodig om te zorgen dat het wettelijke schuldsaneringstraject
kan worden beëindigd wanneer hiertoe aanleiding is, onder meer om daarmee te zorgen
dat de belangen van de schuldeisers worden beschermd.
Onderdeel l betreft het opmaken van de slotuitdelingslijst door de Wsnp-bewindvoerder.
Deze lijst maakt de Wsnp-bewindvoerder op wanneer het vonnis over de vraag of de schuldenaar
toerekenbaar is tekortgeschoten in kracht van gewijsde is gegaan (vgl. artikel 354
Fw). Net als bij het opmaken van de tussentijdse uitdelingen, genoemd in onderdeel j,
kan iedere schuldeiser de slotuitdelingslijst inzien en daartegen gedurende tien dagen
in verzet komen (zie artikel 349 Fw). Ook hier kan van verwerking van persoonsgegevens
sprake zijn. Zo kunnen de namen van de schuldeisers op de lijst staan. Deze verwerking
is nodig om schuldeisers goed te kunnen informeren over de stand van de boedel en
de te verwachten uitkering.
In aanvulling op bovenstaande lijst is in onderdeel m een grondslag opgenomen om bij
of krachtens algemene maatregel van bestuur handelingen of taken aan te wijzen in
het kader waarvan de Wsnp-bewindvoerder gegevens kan verwerken.
Derde lid
De Wsnp-bewindvoerder heeft in de praktijk te maken met bijzondere categorieën van
persoonsgegevens, gegevens van strafrechtelijke aard en nummers die dienen ter identificatie
van personen, zoals bsn.
Verwerking van bovenstaande categorieën van persoonsgegevens is niet bij elke gespecificeerde
taak van de Wsnp-bewindvoerder nodig, zoals bij de verslagen of bij het opmaken van
een (slot)uitdelingslijst. Omdat de verwerking van deze persoonsgegevens risico’s
met zich brengt, is de lijst beperkt tot gevallen waarin het voorstelbaar is dat de
Wsnp-bewindvoerder deze gegevens noodzakelijkerwijs dient te verwerken om diens wettelijke
taken naar behoren te kunnen uitoefenen. In deze gevallen is wel verwerking van bijzondere
of strafrechtelijke persoonsgegevens of nummers die dienen ter identificatie van personen
nodig. Het gaat dan om meer specifieke belangen die, als daarmee rekening wordt gehouden,
gelet op de mogelijke maatschappelijke gevolgen, dermate zwaarwegend zijn dat wordt
voldaan aan de in de AVG opgenomen maatstaf. Dat gaat in beginsel verder dan dat een
bepaalde gegevensverwerking in het belang is van de gezamenlijke schuldeisers. Het
moet gaan om verwerkingen zonder welke het wettelijke schuldsaneringstraject niet
kan worden afgewikkeld of dat verwerkingen zouden leiden tot ernstig nadeel voor de
gezamenlijke schuldeisers. Het kan bijvoorbeeld gaan om verwerking van gegevens betreffende
de administratie of het inventariseren van de schulden. Zonder deze handelingen kan
geen compleet overzicht worden opgesteld van de uitstaande schulden en vorderingen
– en kan de schuldsanering niet naar behoren worden afgewikkeld. Dit wordt hieronder
verder toegelicht.
Onderdeel c ziet op het uitbrengen en ter griffie neerleggen van de verslagen over
de toestand van de boedel en de verslagen over de voortgang van het Wsnp-traject.
Daarbij kan de Wsnp-bewindvoerder beperkt bijzondere gegevens verwerken. In een Wsnp-traject
geldt een arbeids- of sollicitatieplicht. Indien de schuldenaar meent dat hij of zij
arbeidsongeschikt is, kan de schuldenaar verzoeken om een (tijdelijke) vrijstelling
van die plicht via de bewindvoerder aan de rechter-commissaris. De Wsnp-bewindvoerder
verwerkt hierbij medische gegevens omdat hij het verzoek om vrijstelling van de arbeids-
of sollicitatieplicht van de schuldenaar onderbouwd aan de rechter-commissaris moet
aanbieden. Verwerking van deze gegevens is aldus noodzakelijk voor de onderbouwing
van een rechtsvordering.64 Ook kunnen strafrechtelijke gegevens aan de orde zijn bij het opstellen van de verslagen.
Bijvoorbeeld wanneer de schuldenaar een boete heeft ontvangen moet dit worden opgenomen
in het verslag. Dergelijke gegevens moet de Wsnp-bewindvoerder kunnen verwerken in
de verslagen om de schuldeisers volledig en naar waarheid te informeren. Zonder deze
gegevens kan het wettelijke schuldsaneringstraject niet naar behoren worden afgewikkeld.
Aldus is sprake van een zwaarwegend maatschappelijk belang.
Onderdeel d betreft het openen van brieven en telegrammen. Het is voorstelbaar dat
de Wsnp-bewindvoerder persoonsgegevens tegenkomt waaruit bijvoorbeeld medische gegevens
of het lidmaatschap van een kerk, strafrechtelijke veroordelingen of een bsn blijken.
Voorbeelden zijn een oproep door een ziekenhuis of de belastingaangifte. Verwerking
van dergelijke gegevens is de Wsnp-bewindvoerder toegestaan om bijvoorbeeld vorderingen
te inventariseren, en te kunnen beoordelen of een schuldenaar inderdaad traceerbaar
geheel of gedeeltelijk arbeidsongeschikt is en zodoende niet of slechts gedeeltelijk
aan de inspannings- en sollicitatieplicht kan voldoen. Verwerking van gegevens is
nodig voor de volledigheid en juistheid van het schuldenoverzicht. Ook is denkbaar
dat uit een strafrechtelijke veroordeling blijkt dat die kan leiden tot beëindiging
van een Wsnp-traject. Daarnaast is de verwerking van deze gegevens noodzakelijk voor
de Wsnp-bewindvoerder om diens wettelijke taken naar behoren te kunnen uitvoeren.
Zonder deze gegevens kan er geen volledig en juist beeld worden gekregen van de schulden
van de saniet en kan het wettelijke schuldsaneringstraject daarmee niet naar behoren
worden afgewikkeld. In het gegeven voorbeeld van een strafrechtelijke veroordeling,
is het denkbaar dat de belangen van schuldeisers mogelijk ernstig geschaad kunnen
worden indien deze gegevens niet verwerkt kunnen worden. Aldus is er in deze gevallen
sprake van een zwaarwegend maatschappelijk belang.
In onderdeel g is geregeld dat de Wsnp-bewindvoerder kan bescheiden en andere gegevensdragers
en overige stukken, bedoeld in artikel 323 Fw, kan bewaren en kunnen bijzondere categorieën
van persoonsgegevens bevatten. Hieruit kan de Wsnp-bewindvoerder bijvoorbeeld kennisnemen
van het lidmaatschap van een vakbond of politieke opvattingen. Het is nodig dat de
Wsnp-bewindvoerder dergelijke gegevens kan verwerken om bijvoorbeeld onderzoek te
doen naar de administratie van de schuldenaar. Voorts kan uit deze gegevens strafrechtelijke
informatie voortvloeien over bijvoorbeeld een boete of veroordeling op de pc van de
schuldenaar die beëindiging van een Wsnp-traject tot gevolg kan hebben. Ook kunnen
uit bescheiden en andere gegevensdragers identificatienummers, zoals het bsn, naar
voren komen. Hierbij kan worden gedacht aan de aanvraag van een uitkering. Verwerking
van deze gegevens is nodig zodat de Wsnp-bewindvoerder diens wettelijke taken naar
behoren kan uitvoeren. Ook hier gaat het om informatie die essentieel is voor het
opstellen van een overzicht van schulden en vorderingen, zonder welke het wettelijke
schuldsaneringstraject niet naar behoren kan worden afgewikkeld.
De Wsnp-bewindvoerder kan de rechtbank verzoeken een Wsnp-traject te beëindigen. Om
te beoordelen of een dergelijk verzoek op zijn plaats is en om een verzoek te onderbouwen,
moet de Wsnp-bewindvoerder bijzondere en strafrechtelijke persoonsgegevens kunnen
verwerken. Zo kunnen gegevens over de gezondheid van de schuldenaar of strafbare feiten
ertoe leiden dat de schuldenaar zijn verplichtingen niet naar behoren nakomt, bovenmatige
schulden doet of laat ontstaan of tracht zijn schuldeisers te benadelen. Dit zijn
allemaal gronden voor beëindiging van een Wsnp-traject door de rechtbank (zie artikel 350
Fw). Verwerking van deze gegevens is aldus noodzakelijk zodat de Wsnp-bewindvoerder
zijn wettelijke taken deugdelijk kan uitvoeren. Deze gegevensverwerking is bovendien
nodig om te voorkomen dat de belangen van de gezamenlijke schuldeisers (ernstige)
worden geschaad. Beëindiging van het wettelijke schuldsaneringstraject zonder schone
lei geeft namelijk in de hiervoor genoemde voorbeelden de mogelijkheid aan schuldeisers
om zich opnieuw op het vermogen van de saniet te verhalen, terwijl bij voortzetting
van het wettelijke schuldsaneringstraject en toekenning van een schone lei in deze
gevallen de mogelijkheden tot verhaal zijn uitgesloten.
Tot slot is in het derde lid, onder a, een nieuwe taak opgenomen voor de Wsnp-bewindvoerder.
Het gaat om de overdracht van bescheiden en andere gegevensdragers en overige stukken.
Dit zijn dezelfde gegevens als die genoemd zijn in het tweede lid, onder g. Daar gaat
het alleen om het bewaren en onder zich nemen van deze gegevens. In de praktijk is
het nodig dat bescheiden en andere gegevensdragers en overige stukken die bijzondere
persoonsgegevens bevatten, ook kunnen worden overgedragen, omdat dat in het kader
van een dringend maatschappelijk belang is vereist. Denk bijvoorbeeld aan dossiers
die in het bezit zijn van een schuldenaar-schuldhulpverlener. Het overdragen is in
dit voorbeeld nodig om te voorkomen dat de cliënten van de schuldenaar door een andere
schuldhulpverlener worden kunnen worden geholpen. Het gaat hier om vergelijkbare gevallen
als in faillissement (zie ook de toelichting bij het voorgestelde artikel 68a, derde
lid, onderdeel c). De Wsnp-bewindvoerder heeft geen recht op inzage in de dossiers.65
Artikel 9, tweede lid, onder g, en artikel 10 AVG vereisen dat passende en specifieke
maatregelen worden getroffen ter bescherming van de grondrechten en de fundamentele
belangen van de schuldenaar. Deze maatregelen zijn vergelijkbaar met de maatregelen
die gelden voor de curator in faillissement en de bewindvoerder in surseance van betaling
(zie onderdelen A en B, laatste alinea). De eerste maatregel betreft het feit dat
de Wsnp-bewindvoerder door de rechter wordt benoemd, op grond van artikel 287, derde
lid, Fw. Ook valt onder de algemene plicht van de Wsnp-bewindvoerder om zorgvuldig
met persoonsgegevens om te gaan. Schending van deze plicht kan onder omstandigheden
leiden tot het ontslag van de Wsnp-bewindvoerder op grond van artikel 319 Fw. Daarnaast
houdt de rechter-commissaris toezicht op de Wsnp-bewindvoerder op grond van artikel 314
Fw. In dit verband is ook de Gedragscode bewindvoerder Wsnp II (Stcrt 2013, 29039) van belang. In dit kader bestaat tevens een klachtenregeling bij de Raad voor Rechtsbijstand
over Wsnp-bewindvoerders. Uit de gedragscode volgt onder andere dat de bewindvoerder
zorgdraagt voor een onafhankelijke uitvoering van de werkzaamheden, zich objectief,
fatsoenlijk en respectvol gedraagt en zijn of haar werkzaamheden zorgvuldig, vakkundig
en doelmatig uitvoert met inachtneming van de professionele deskundigheid die van
hem mag worden verwacht. Bovendien betracht de bewindvoerder geheimhouding ten aanzien
van vertrouwelijke informatie waarover hij bij het uitvoeren van zijn werkzaamheden
de beschikking krijgt. Tot slot houdt ook de AP toezicht op de naleving van de AVG
door de gegevensverwerker, in dit geval de Wsnp-bewindvoerder. De AP kan zo nodig
handhavend optreden, onder meer door een dwangsom of een boete op te leggen.
ARTIKEL III. Vreemdelingenwet 2000
Enig onderdeel (artikel 107)
Gebruik van het vreemdelingennummer
De Wet modern migratiebeleid heeft per 1 juni 2013 voorzien in een wettelijke basis
voor de vreemdelingenadministratie, die is neergelegd in artikel 107 van de Vreemdelingenwet
2000, hierna Vw 2000. Deze administratie bevat een verzameling gegevens met betrekking
tot onder andere vreemdelingen, voor zover die gegevens noodzakelijk zijn voor onder
meer een goede uitvoering van de Vw 2000, de Rijkswet op het Nederlanderschap, de
op die wetten gebaseerde regelgeving en andere in het Voorschrift Vreemdelingen 2000
aangewezen wettelijke voorschriften (artikel 107, tweede lid, van de Vw 2000).
Artikel 107, derde lid, van de Vreemdelingenwet 2000 bepaalt dat aan een vreemdeling
in de vreemdelingenadministratie een uniek vreemdelingennummer (hierna: v-nummer)
wordt toegekend en voorziet dit nummer van een wettelijke basis. Het v-nummer is een
uniek nummer ter identificatie van een vreemdeling. Het nummer waarborgt dat, als
de organisaties in de vreemdelingenketen (persoons)gegevens van vreemdelingen uitwisselen,
het over dezelfde persoon gaat. Bij de eerste registratie van een vreemdeling in de
Basisvoorziening Vreemdelingen (BVV) wordt het v-nummer toegekend. Een nieuw uniek
v-nummer wordt pas uitgegeven als niet vast te stellen is, dat de vreemdeling eerder
is geregistreerd.
De identificerende persoonsgegevens, waaronder biometrische kenmerken van de vreemdeling,
worden, gekoppeld aan dat v-nummer, in de Basisvoorziening Vreemdelingen (BVV) geregistreerd.
Het doel hiervan is dat iedere vreemdeling één geregistreerde identiteit in de vreemdelingenketen
heeft die primair te verifiëren is aan de hand van het v-nummer en de biometrische
gegevens.
Het v-nummer wordt ketenbreed gebruikt. Alle ketenpartners, waaronder het Centraal
Orgaan opvang asielzoekers, de Dienst Terugkeer en Vertrek en de Immigratie- en Naturalisatiedienst,
werken ook in hun eigen informatiesysteem met het v-nummer. Dat nummer stelt de ketenpartners
in staat om – al dan niet elektronisch – informatie over een bepaalde vreemdeling
met elkaar uit te wisselen en te handelen op basis van de juiste en dezelfde identiteitsgegevens
van een vreemdeling.
Het v-nummer is de sleutel voor de koppeling en uitwisseling van gegevens binnen de
vreemdelingenketen. Daarbij is van belang dat er voor de verwerking van de andere
persoonsgegevens van de vreemdeling een zelfstandige wettelijke grondslag moet zijn.
Het mogen verwerken van het v-nummer betekent op zichzelf niet dat andere persoonsgegevens
van de vreemdeling verwerkt mogen worden.
Wat betreft het gebruik van het bsn geldt dat overheidsorganen die bij het verwerken
van persoonsgegevens in het kader van het uitvoeren van hun taak gebruik kunnen maken
van dit nummer, in beginsel verplicht zijn om bij het onderling uitwisselen van persoonsgegevens
geen ander persoonsnummer dan het bsn als identificerend nummer te hanteren. Artikel 11,
eerste lid, van de Wet algemene bepalingen burgerservicenummer laat echter de ruimte
om bij de uitwisseling naast het bsn een ander persoonsnummer te vermelden. Binnen
de vreemdelingenketen kan derhalve het v-nummer worden gebruikt. Dit is ook noodzakelijk
omdat niet alle vreemdelingen in aanmerking komen voor toekenning van een bsn (zie
hierna).
De voorgestelde wijziging
Blijkens het bovenstaande regelt artikel 107 van de Vw 2000 het gebruik van het v-nummer
door en tussen bestuursorganen (en daarmee gelijkgestelde organen) in de vreemdelingenketen.
Het artikel regelt niet het gebruik van het v-nummer door bestuursorganen bij de verstrekking
van gegevens en inlichtingen aan organisaties en instellingen die taken vervullen
op het gebied van begeleiding of ondersteuning van vreemdelingen, maar geen bestuursorgaan
zijn. Ook het gebruik van het v-nummer door die organisaties en instellingen bij het
verstrekken van gegevens en inlichtingen omtrent een vreemdeling aan de Minister van
Justitie en Veiligheid is niet geregeld.
Bij de organisaties en instellingen die taken vervullen op het gebied van begeleiding
of ondersteuning van vreemdelingen en geen bestuursorgaan zijn, kan worden gedacht
aan VluchtelingenWerk Nederland (VWN), de Internationale Organisatie voor Migratie
(IOM) en Stichting Nidos. VWN geeft onder andere voorlichting over de asielprocedure
aan asielzoekers, begeleidt hun tijdens die procedure en begeleidt vreemdelingen aan
wie een verblijfsvergunning is verleend. IOM ondersteunt vreemdelingen onder andere
bij vrijwillige terugkeer, hervestiging en relocatie. Stichting Nidos voert op grond
van het Burgerlijk Wetboek en de Jeugdwet de kinderbeschermingsmaatregelen voogdij
(ten aanzien van alleenstaande minderjarige vreemdelingen) en gezinsvoogdij/ondertoezichtstelling
(ten aanzien van minderjarige kinderen die samen met hun ouders asiel hebben gevraagd).
Stichting Nidos staat als zelfstandig bestuursorgaan in het zbo-register. Zij ontleent
haar zbo-status echter uitsluitend aan de ondertoezichtstellingstaak, en niet aan
de voogdijtaak66.
In de dagelijkse uitvoeringspraktijk van het vreemdelingenbeleid hebben de hiervoor
genoemde organisaties en instellingen wegens het ontbreken van goede alternatieven
een grote behoefte aan gebruik van het v-nummer. De reden daarvoor is dezelfde als
waarom de bestuursorganen het v-nummer onderling verwerken, namelijk om de vreemdeling
uniek te kunnen identificeren en te registreren en zo te beschikken over dezelfde
persoonsgegevens. Het gebruik van het v-nummer is in het belang van de betrokken organisatie
of instelling en van de vreemdeling. Zij hebben allemaal hetzelfde belang dat vreemdelingen
juist worden geïdentificeerd en geregistreerd en dat de uitvoering van de Vw 2000
en de communicatie daarover effectief en efficiënt is. Als het v-nummer niet wordt
gebruikt, kan het enige tijd duren voordat de juiste vreemdeling in de geautomatiseerde
systemen is gevonden. Daarbij bestaat het risico dat personen worden verwisseld en
onjuiste persoonsgegevens worden verstrekt of persoonsgegevens over een andere persoon
worden verstrekt. Met het gebruik van het v-nummer kunnen fouten worden voorkomen,
bijvoorbeeld wanneer namen door de verschillende organisaties en instellingen in de
vreemdelingenketen anders zijn gespeld, wanneer de naam, bijvoorbeeld als gevolg van
een huwelijk of echtscheiding, verandert of wanneer een vreemdeling een andere nationaliteit
krijgt. Daarom dienen zij gegevens omtrent vreemdelingen te kunnen ontvangen uit de
vreemdelingenadministratie en te kunnen verstrekken aan de Minister met gebruikmaking
van het v-nummer. Hiervoor creëert de voorgenomen wijziging van artikel 107 van de
Vw 2000 de wettelijke basis.
AVG
Het v-nummer is een identificatienummer als bedoeld in artikel 87 AVG. Dat artikel
geeft lidstaten de mogelijkheid om voorwaarden te stellen aan het gebruik van een
nationaal identificatienummer. Een dergelijk nummer mag alleen worden gebruikt als
passende waarborgen voor de rechten en vrijheden van de betrokkenen zijn getroffen.
De UAVG vult deze bepaling aan door te bepalen dat nationale identificatienummers
die zijn voorgeschreven bij wet, slechts mogen worden gebruikt voor de uitvoering
van de betreffende wet of voor de doelen die bij wet zijn bepaald. Voor andere dan
in de wet voor deze nummers genoemde doelen is het verwerken ervan niet toegestaan.
Deze beperkingen zijn aan het gebruik van een persoonsidentificerend nummer gesteld
uit een oogpunt van bescherming van de persoonlijke levenssfeer. Persoonsnummers vergemakkelijken
immers de koppeling van verschillende bestanden. Met de onderhavige wijziging van
artikel 107 van de Vw 2000 wordt voorzien in de door de UAVG vereiste wettelijke grondslag
voor de beoogde uitwisseling van persoonsgegevens tussen de Minister en organisaties
en instellingen die taken vervullen op het gebied van begeleiding of ondersteuning
van vreemdelingen, met gebruikmaking van het v-nummer.
Het is noodzakelijk om ketenbreed in een vroegtijdig stadium te beschikken over een
juiste identificatie en registratie van vreemdelingen. Met dit expliciete doel wordt
de proportionaliteit van de verstrekking van het v-nummer door de bestuursorganen
in de vreemdelingenketen aan organisaties en instellingen die taken vervullen op het
gebied van begeleiding of ondersteuning van vreemdelingen, de verwerking van het v-nummer
door deze organisaties en instellingen en de gebruikmaking van het v-nummer door deze
organisaties en instellingen in het gegevensverkeer met de Minister van Justitie en
Veiligheid over vreemdelingen geëerbiedigd. Zoals eerder aangegeven is het v-nummer
het vehikel waarmee andere persoonsgegevens worden doorgegeven. Daarbij moet uiteraard
aan de voorwaarden voor de uitwisseling van die andere persoonsgegevens worden voldaan.
Er wordt, met andere woorden, geregeld dat het v-nummer kan worden gebruikt voor gegevensuitwisseling. Daarmee is niet gegeven
dat er ook een grondslag is voor die gegevensuitwisseling.
Wat betreft de vereiste subsidiariteit zijn er voor het gebruik van het v-nummer geen
geschikte alternatieven voorhanden. Een aantal alternatieven is onderzocht. Uitwisseling
op basis van naam, geboortedatum en eventueel nationaliteit is geen optie omdat namen
op verschillende wijze geschreven kunnen worden en de geboortedatum niet altijd bekend
is. Deze gegevens zijn onvoldoende onderscheidend voor een unieke identificatie. Om
deze reden is ook het gebruik van een door elke organisatie of instelling zelf gecreëerd
persoonsnummer geen oplossing. Juist hierom is het v-nummer gecreëerd. Gebruik van
het bsn is geen alternatief omdat niet alle vreemdelingen al in een vroeg stadium
kunnen worden ingeschreven in de basisregistratie personen (BRP).
ARTIKEL IV. Wegenverkeerswet 1994
Onderdelen A en B (artikelen 181 en 182)
In de artikelen 181 en 182 van de Wegenverkeerswet 1994 (WVW) is – kort gezegd – bepaald
dat als een verkeersdelict wordt begaan door een bij de ontdekking van het feit onbekend
gebleven bestuurder, de op het feit gestelde straffen kunnen worden opgelegd aan de
eigenaar of houder van het motorrijtuig of aan de eigenaar of houder van de aanhangwagen
die met dat motorrijtuig wordt voortbewogen. De Wet administratiefrechtelijke handhaving
verkeersvoorschriften (Wahv) hanteert een vergelijkbaar uitgangspunt door te bepalen
dat als niet aanstonds is vastgesteld wie de overtredende bestuurder is, de administratieve
sanctie wordt opgelegd aan degene op wiens naam het kenteken van het motorrijtuig
of de aanhangwagen was ingeschreven in het kentekenregister ten tijde van de gedraging
(artikelen 5 tot en met 5b van de Wahv) (zie voor de wijzigingen in die artikelen,
artikel IV van het onderhavige wetsvoorstel). Dit is de zogeheten kentekenaansprakelijkheid.
Waar in het vervolg over motorrijtuigen wordt gesproken, worden daaronder, tenzij
anders vermeld ook aanhangwagens verstaan.
Veel motorrijtuigen behoren in eigendom toe aan leasemaatschappijen en verhuurbedrijven,
die veelal tevens houder van het kenteken van de betreffende motorrijtuigen zijn.
Deze partijen worden veelvuldig geconfronteerd met (strafrechtelijke en administratieve)
sancties voor overtredingen die zijn begaan met door hen verhuurde, of op andere wijze
aan derden ter beschikking gestelde, motorrijtuigen. Zowel de WVW als de Wahv bieden
de eigenaar dan wel kentekenhouder de bevoegdheid om aan de autoriteiten door te geven
wie de daadwerkelijke bestuurder was. Dit kan dan leiden tot vernietiging van de Wahv-beschikking
en het opnieuw opleggen daarvan aan de bestuurder (artikel 8 van de Wahv) of tot het
achterwege blijven van oplegging van een strafrechtelijke sanctie aan de eigenaar
of houder (artikelen 181, tweede en derde lid, en 182, tweede en derde lid, van de
WVW). De eigenaar of kentekenhouder weet echter niet altijd wie de feitelijke bestuurder
van het motorrijtuig was. Vooral in bedrijfsmatige situaties, zoals bij de genoemde
leasemaatschappijen en verhuurders, komt het daarom met regelmaat voor dat sancties
op basis van contractuele afspraken zouden moeten worden doorgestuurd naar de houder
(de lessee) van het motorrijtuig om te achterhalen wie de daadwerkelijke bestuurder
was. De houder of lessee is vaak de werkgever van de bestuurder. In sommige gevallen
betaalt de eigenaar of kentekenhouder de sanctie zelf en wordt de sanctie vervolgens
alsnog doorgezet naar de daadwerkelijke bestuurder of diens werkgever, met het oog
op het verhaal van het boetebedrag.
Het ontvangen door de eigenaar of (kenteken)houder van een sanctie die ziet op een
overtreding begaan door een andere persoon betreft op zichzelf reeds een verwerking
van persoonsgegevens van die andere persoon (de feitelijke bestuurder). Gaat het om
een sanctie die is opgelegd op grond van de WVW, zoals een strafbeschikking, dan is
er daarnaast ook sprake van een verwerking van persoonsgegevens van strafrechtelijke
aard in de zin van artikel 10 AVG. Wahv-boetes zijn administratieve sancties en vallen
als zodanig niet onder de reikwijdte van artikel 10 AVG. Zowel de WVW als de Wahv
bieden als gezegd een grondslag voor het opleggen van de sancties. Er is echter geen
voldoende duidelijke grondslag voor de verwerking van de persoonsgegevens door de
eigenaar of (kenteken)houder, zoals de – al dan niet door tussenkomst van diens werkgever
in de hoedanigheid als houder van het voertuig – (door)verstrekking van die gegevens
aan de daadwerkelijke bestuurder van het motorrijtuig, met het oog op het achterhalen
van de bestuurder of voor het verhaal van het reeds door de eigenaar of (kenteken)houder
betaalde boetebedrag.
Vanuit het oogpunt van de verkeersveiligheid en de effectiviteit van het verkeersbeleid
is het echter van belang dat de daadwerkelijke bestuurder van het motorrijtuig de
sanctie (uiteindelijk) betaalt doordat de boete alsnog aan hem wordt opgelegd, of
doordat het reeds betaalde boetebedrag op hem kan worden verhaald. Omdat het hier
gaat om een structurele, veelvoorkomende verwerking, wordt voorgesteld dit blijvend
transparant te borgen door in beide wetten uitdrukkelijk te bepalen dat de eigenaar
(bijvoorbeeld een leasemaatschappij) of de houder (bijvoorbeeld de werkgever van de
bestuurder) bevoegd zijn de aan hen gezonden persoonsgegevens (van al dan niet strafrechtelijke
aard) te verwerken. Hierdoor kunnen deze gegevens zo nodig met het oog op de hiervoor
genoemde doelen worden verstrekt aan de daadwerkelijke bestuurder dan wel aan diens
werkgever of aan een andere houder van het motorrijtuig, afhankelijk van de in de
lease- of verhuurconstructie gemaakte afspraken
Benadrukt zij dat met deze wijzigingen geen bevoegdheid ontstaat voor de eigenaar
of kentekenhouder om een register bij te houden van de met zijn motorrijtuig(en) gepleegde
overtredingen. Die bevoegdheid is op grond van artikel 10 AVG exclusief voorbehouden
aan de overheid. De eigenaar of kentekenhouder, of een (rechts)persoon in de tussenliggende
keten, (bijvoorbeeld de werkgever) is enkel bevoegd om op incidentele basis, dus op
grond van een concrete sanctie, de bijbehorende gegevens te verwerken indien noodzakelijk
is met het oog op het achterhalen van de daadwerkelijke bestuurder of met het oog
op de financiële afwikkeling van die sanctie. Dit volgt uit de zinsnede «voor zover
die verwerking noodzakelijk is voor de uitvoering van dit artikel en het verhaal van
de straf op de bestuurder». Volledigheidshalve wordt opgemerkt dat ook de verstrekking
van een concrete, opgelegde sanctie door de eigenaar aan een houder (bijvoorbeeld
een werkgever) uitsluitend mag plaatsvinden indien door de eigenaar niet op een andere
manier kan worden achterhaald wie de daadwerkelijke bestuurder was ten tijde van de
overtreding, of indien verstrekking aan de houder vereist is voor het succesvol verhalen
van de sanctie op de daadwerkelijke bestuurder. Indien bijvoorbeeld een leasemaatschappij
als kentekenhouder een sanctie krijgt opgelegd maar zelf reeds heeft kunnen achterhalen
wie de bestuurder ten tijde van de overtreding was, dient verstrekking van de opgelegde
sanctie zonder tussenkomst van de werkgever van de bestuurder plaats te vinden.
Tot slot zij benadrukt dat de voorgestelde grondslagen om persoonsgegevens (van al
dan niet strafrechtelijke aard) te mogen verwerken, geen wijziging brengen in het
systeem van kentekenaansprakelijkheid. Er wordt slechts een grondslag voor gegevensverwerking
gecreëerd met het oog op bovengenoemde doelen.
ARTIKEL V. Wet administratiefrechtelijke handhaving verkeersvoorschriften
Onderdelen A, B en C (artikelen 5, 5a en 5b)
Voor de toelichting op dit artikel wordt verwezen naar de toelichting op de voorgestelde
wijzigingen in de Wegenverkeerswet 1994 in artikel IV.
ARTIKEL VI Wet justitiële en strafvorderlijke gegevens
Onderdeel A (artikel 16, tweede lid)
In dit artikel wordt in de laatste zin per abuis gesproken over politiegegevens, terwijl
het gaat om justitiële gegevens. Dit wordt hierbij aangepast.
Onderdeel B (artikel 36)
Dit artikel herstelt een onjuiste verwijzing in artikel 36, eerste lid, van de Wet
justitiële en strafvorderlijke gegevens. De juiste verwijzing moet een verwijzing
naar het tweede lid van artikel 21 van die wet zijn.
ARTIKEL VII Wet marktordening gezondheidszorg
Onderdeel A (artikel 60, vierde lid)
In het vierde lid van artikel 60 van deze wet werden in de definitie van persoonsgegevens
van strafrechtelijke aard ook gegevens betreffende een gerechtelijke verbod naar aanleiding
van onrechtmatig of hinderlijk gedrag opgenomen. Omdat dit onderdeel komt te vervallen
als onderdeel van de definitie van persoonsgegevens van strafrechtelijke aard in artikel 1
UAVG (zie toelichting I, onder A), moet dit onderdeel ook vervallen in deze bepaling.
Onderdelen B en C (artikel 70 en 70a)
In deze artikel worden de verwijzingen naar het College en Wet bescherming persoonsgegevens
vervangen.
ARTIKEL VIII. Wet op de rechtsbijstand
Onderdelen A en B (artikel 1)
Artikel 9, eerste lid
Met het voorgestelde artikel 9 van de Wet op de rechtsbijstand (Wrb) wordt verduidelijkt
dat het bestuur van de raad voor rechtsbijstand (verder: het bestuur) bij de uitoefening
van zijn wettelijke taken op grond van die wet persoonsgegevens, waaronder bijzondere
categorieën van persoonsgegevens en persoonsgegevens van strafrechtelijke aard kan
blijven verwerken voor zover dit noodzakelijk is voor de uitoefening van zijn wettelijke
taken.
Het bestuur heeft, kort gezegd, tot taak het zorgdragen voor de organisatie en verlening
van rechtsbijstand en mediation, voor een zo evenwichtig mogelijke spreiding van het
aanbod van rechtsbijstand en mediation en een zo doelmatig mogelijke besteding van
de hem ter beschikking staande middelen.
Het bestuur neemt onder meer besluiten op aanvragen om rechtsbijstand op basis van
een toevoeging (artikel 7, derde lid, onderdeel a, van de Wrb). Daartoe beoordeelt
hij onder meer de toevoegwaardigheid van het juridische probleem of geschil (artikelen 12,
23i, 28 en 33e van de Wrb) en eventuele bijzondere omstandigheden (artikelen 16, 23c,
23h en 23j van de Wrb), de financiële draagkracht van de rechtzoekende en – kort gezegd –
diens partner (artikelen 7, derde lid, onderdeel e, 25, 33e, 34, 34b en 37 van de
Wrb), eventuele tegenstrijdige belangen van de rechtzoekende en diens partner (artikelen 34,
derde lid, en 33e van de Wrb) en de reden van eventuele terugval van het inkomen en/of
vermogen (artikelen 34c, vierde lid, en 33e van de Wrb). Het bestuur stelt de hoogte
van de eigen bijdrage van de rechtzoekende vast en beoordeelt daarbij in voorkomende
gevallen bijzondere omstandigheden die tot toepassing van een hardheidsclausule kunnen
leiden (artikelen 24, vijfde lid, 33e, 44, tweede en derde lid, van de Wrb en het
op artikel 35 van de Wrb gebaseerde Besluit eigen bijdrage rechtsbijstand).
Voorts stelt het bestuur vast in welke gevallen rechtsbijstand op basis van een toevoeging
kosteloos is (artikelen 43, eerste lid, en 44, vierde lid, van de Wrb) en draagt hij
zorg voor de verlening van piketrechtsbijstand. Daarnaast is het bestuur belast met
de wijziging, beëindiging en intrekking van toevoegingen (artikelen 33, eerste lid,
34g en 33e van de Wrb), en draagt het bestuur zorg voor de vaststelling en uitbetaling
van vergoedingen aan rechtsbijstandverleners en mediators (artikelen 7, derde lid,
onder b, 33e en 37 van de Wrb en het Besluit vergoedingen rechtsbijstand 2000) en
voor de controle op werkzaamheden van rechtsbijstandverleners en mediators (artikel 7,
derde lid, onderdeel c, van de Wrb). Ter uitvoering van zijn taken treft het bestuur
onder meer voorzieningen (artikelen 7, tweede lid, en 8 tweede lid, van de Wrb) en
sluit hij overeenkomsten met verleners van rechtsbijstand en mediation (artikelen 7,
derde lid, onderdeel d, en 13, eerste en tweede lid, van de Wrb).
Om voornoemde taken goed te kunnen uitvoeren verwerkt het bestuur noodzakelijkerwijs
persoonsgegevens, waaronder in voorkomende gevallen ook bijzondere categorieën van
persoonsgegevens als bedoeld in paragraaf 3.1 UAVG en persoonsgegevens van strafrechtelijke
aard als bedoeld in paragraaf 3.2 UAVG. Zo kan alleen al een globale omschrijving
van de gevraagde rechtsbijstand in discriminatieklachten gegevens met betrekking tot
ras, etnische afkomst, seksuele gerichtheid of politieke opvattingen bevatten. Aanvragen
om rechtsbijstand in bijvoorbeeld letselschadezaken en meldingen voor psychiatrische
piketrechtsbijstand gaan noodzakelijkerwijs gepaard met verwerking van gezondheidsgegevens.
In arbeidszaken kan bijvoorbeeld het lidmaatschap van een vakbond van belang zijn
voor de vraag of de rechtzoekende in aanmerking komt voor gesubsidieerde rechtsbijstand.
Verder vergt onder meer rechtsbijstand in strafzaken, en de terugvordering van subsidie
van de gewezen rechtzoekenden die in een strafzaak bij onherroepelijk geworden uitspraak
zijn veroordeeld (artikel 43, derde lid, van de Wrb), de verwerking van persoonsgegevens
van strafrechtelijke aard.
Een goed functionerend stelsel voor gesubsidieerde rechtsbijstand en mediation is
van zwaarwegend algemeen belang. Randvoorwaarde voor een goed functionerende rechtsstaat
is de toegang van burgers tot het recht. Burgers moeten toegang hebben tot informatie,
advies, begeleiding bij onderhandeling, rechtsbijstand en de mogelijkheid van een
beslissing door een neutrale (rechterlijke) instantie. Die toegang moet ook voor minder
draagkrachtige burgers worden gewaarborgd om hen in staat te stellen hun juridische
problemen op te lossen en om te voorkomen dat het recht van de sterkste prevaleert.
Dit vereist onder meer dat het bestuur kan beschikken over alle relevante informatie,
waaronder genoemde persoonsgegevens, die nodig is voor de verlening van gesubsidieerde
rechtsbijstand. De verwerking van persoonsgegevens door het bestuur geschiedt op grond
van artikel 6, eerste lid, onderdelen c en e, en derde lid, AVG. Artikel 9, eerste
lid, van de AVG bevat een verbod om bijzondere categorieën van persoonsgegevens te
verwerken, waarvan voor zover hier van belang op grond van artikel 9, tweede lid,
onderdeel g, AVG bij nationaal recht kan worden afgeweken. Op grond van artikel 10
AVG is het verwerken van persoonsgegevens betreffende strafrechtelijke veroordelingen
en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen alleen mogelijk
onder toezicht van de overheid of indien dat is toegestaan bij Unierechtelijk of in
nationaal recht.
Het is ook van zwaarwegend algemeen belang dat het bestuur identificerende nummers
kan verwerken. Op grond van artikel 46 UAVG wordt een nummer dat ter identificatie
van een persoon bij wet is voorgeschreven bij de verwerking van persoonsgegevens slechts
gebruikt ter uitvoering van de desbetreffende wet dan wel voor doeleinden bij de wet
of algemene maatregel van bestuur bepaald.
Het voorgestelde artikel 9 van de Wrb legt de rechtsgrond voor de verwerking van persoonsgegevens
overeenkomstig artikel 6, derde lid, AVG neer in het lidstatelijk recht dat op het
bestuur als verwerkingsverantwoordelijke van toepassing is. Het voorziet tevens in
de uitzondering op de verwerkingsverboden bedoeld in artikelen 9, eerste lid, en 10
AVG.
Hierbij wordt volledigheidshalve opgemerkt dat het voorgestelde artikel 9 betrekking
heeft op de taakuitoefening van het bestuur, en derhalve ook de werkzaamheden omvat
van een ieder die eventueel onder verantwoordelijkheid van het bestuur meewerkt aan
die taakuitoefening. Het is steeds van belang om voor de verzameling en verwerking
van de persoonsgegevens zoals hierboven beschreven vast te stellen of er een eigen
rechtsgrond bestaat voor de verwerkende partij. De rollen van de verschillende partijen
die in de keten persoonsgegevens verwerken, zullen steeds aan de hand van feiten in
de praktijk worden vast gesteld.
Om duidelijk te maken dat de raad de nummers ter identificatie van personen die bij
wet zijn voorgeschreven mag verwerken is ervoor gekozen om een verwijzing naar artikel 46
UAVG en niet naar artikel 87 AVG op te nemen.
De wettelijke taken van het bestuur op grond van de Wrb zijn op hoofdlijnen neergelegd
in de artikelen 7 en 7a van de Wrb en daarnaast in een groot aantal andere bepalingen
in de Wrb. Omdat de taakomschrijving in de artikelen 7 en 7a van de Wrb niet alle
taken op grond van de Wrb beslaat die noodzakelijkerwijs de verwerking van bijzondere
categorieën persoonsgegevens en/of persoonsgegevens van strafrechtelijke aard mee
(kunnen) brengen, wordt in het voorgestelde artikel 9 gesproken van de taken van het
bestuur «op grond van deze wet».
De passende en specifieke maatregelen en waarborgen die op grond van de artikelen 9,
tweede lid, onderdeel g, en artikel 10 AVG met het creëren van een uitzondering op
het verbod van de artikelen 9, eerste lid, en 10 AVG ter bescherming van de grondrechten
en de fundamentele belangen van betrokkene gepaard moeten gaan, zijn onder meer gelegen
in de geheimhoudingsplichten. Een ieder die betrokken is bij de uitvoering van de
taken van het bestuur en die daarbij de beschikking krijgt over gegevens waarvan hij
het vertrouwelijke karakter kent of redelijkerwijs moet vermoeden en voor wie niet
reeds uit hoofde van ambt, beroep of wettelijke voorschrift een geheimhoudingsplicht
geldt, is op grond van artikel 2:5 van de Awb gehouden tot geheimhouding van die gegevens,
behoudens voor zover enig wettelijk voorschrift hem tot mededeling verplicht of uit
zijn taak de noodzaak tot mededeling voortvloeit. Deze geheimhoudingsplicht is onder
meer van belang voor (medewerkers van) de raad voor rechtsbijstand en door het bestuur
op grond van de artikelen 7, tweede lid, en 8, tweede lid, van de Wrb getroffen voorzieningen
en voor derden als bedoeld in artikel 13, eerste en tweede lid, van de Wrb waarmee
het bestuur een overeenkomst tot verlening van rechtsbijstand heeft gesloten. De geheimhoudingsplicht
van in het stelsel van gesubsidieerde rechtsbijstand werkzame advocaten, notarissen
en gerechtsdeurwaarders is geregeld in het bepaalde bij of krachtens de Advocatenwet,
de Wet op het notarisambt en de Gerechtsdeurwaarderswet.
Een andere belangrijke waarborg is de transparantie van de gegevensverwerking. Het
bestuur van de raad voor rechtsbijstand beschikt over een privacyverklaring waarin
het voor een ieder helderheid verschaft over de wijze waarop het als verwerkingsverantwoordelijke
invulling geeft aan zijn verplichtingen uit de AVG en de UAVG, en meer in het bijzonder
welke soorten gegevens van welke personen het met welk doel verwerkt, welke gegevens
het met welk doel aan welke anderen kan verstrekken, en welke gegevens hoe lang worden
bewaard. Het bestuur moet deze privacyverklaring op geschikte wijze bekendmaken.
Als verwerkingsverantwoordelijke moet het bestuur voldoen aan alle eisen die de AVG
en de UAVG aan de verwerkingsverantwoordelijke opleggen.
Artikel 9, tweede lid
Onder verantwoordelijkheid van het bestuur kunnen ook derden die betrokken zijn bij
de verlening van gesubsidieerde rechtsbijstand en mediaton persoonsgegevens verwerken.
Het tweede lid van het voorgestelde artikel 9 beperkt de groep verwerkers. Het gaat
uiteraard om verleners van rechtsbijstand. Rechtsbijstand omvat zowel de gesubsidieerde
eerstelijnsrechtsbijstand (rechtshulp) als de gesubsidieerde tweedelijnsrechtsbijstand
die op basis van een toevoeging of in de vorm van piketrechtsbijstand wordt verleend
(artikel 1, eerste lid, van de Wrb). Wie deze rechtsbijstand verleent, is geregeld
in artikel 13, eerste en tweede lid, van de Wrb. Het gaat voorts om (medewerkers van)
bij de raad voor rechtsbijstand ingeschreven mediators, commissies die het bestuur
ter uitvoering of voorbereiding van zijn taken heeft getroffen (artikel 8, eerste
lid, van de Wrb) en voorzieningen die het bestuur ter uitvoering van zijn taken (op
grond van de artikelen 7, tweede lid, en 8, tweede lid, van de Wrb) heeft getroffen.
Bij de uitvoering van zijn taken werkt het bestuur ook samen met personen en instanties
die buiten het stelsel van de Wrb rechtskundige of maatschappelijke hulp of bemiddeling
verlenen, zoals sociaal raadslieden en medewerkers van de gemeentelijke schuldhulpverlening.
Het tweede lid laat de eigen verwerkingsverantwoordelijkheid van bijvoorbeeld advocaten
onverlet. Uiteraard vindt niet alle gegevensverwerking door verleners van rechtsbijstand
en juridische of sociaal-maatschappelijke diensten plaats onder verantwoordelijkheid
van het bestuur. Die dienstverleners hebben ook hun eigen verwerkingsverantwoordelijkheid
die los staat van de vraag of hun dienstverlening al dan niet in het kader van de
Wrb wordt gesubsidieerd. Ook zonder subsidiëring kan de uitvoering van de overeenkomst
met een cliënt immers tot verwerking van persoonsgegevens nopen. Dit zal veelal gebaseerd
zijn op de toestemming van de cliënt.
Als verwerkingsverantwoordelijke draagt het bestuur zorg voor een privacyverklaring,
waarin onder meer is opgenomen wie onder zijn verantwoordelijkheid persoonsgegevens
kan verwerken. Deze wordt door het bestuur op geschikte wijze bekendgemaakt. Hierdoor
is het voor de betrokken burger op voorhand kenbaar welke personen en instanties ter
uitvoering van de Wrb onder verantwoordelijkheid van het bestuur persoonsgegevens
kan verwerken en, gelet op het voorgestelde artikel 10, bij de communicatie met het
bestuur ook diens burgerservicenummer mag gebruiken.
Artikel 10
Het burgerservicenummer (bsn) is een nationaal identificatienummer in de zin van de
artikelen 87 AVG en 46 UAVG. Op grond van de Wet algemene bepalingen burgerservicenummer
(Wabb) wordt het bsn gebruikt door het bestuur en verschillende andere gebruikers
(in de zin van de Wabb) die, al dan niet op grond van de Wrb, rechtskundige of maatschappelijke
hulp verlenen. Het bestuur gebruikt het bsn om persoonsgegevens te verifiëren bij
de Basisregistratie Personen en om het inkomen en vermogen van de rechtzoekende – en
in voorkomend geval dat van diens partner (artikel 34, derde lid, van de Wrb) – door
middel van gegevensuitwisseling met de Belastingdienst vast te stellen met het oog
op de aanspraak op gesubsidieerde rechtsbijstand of mediation op basis van een toevoeging
en de vaststelling van de eigen bijdrage. Niet alle verleners van gesubsidieerde rechtsbijstand
en mediation, en ook niet alle relevante verleners van eerstelijns rechtskundige of
maatschappelijke hulp zijn op dit moment als gebruiker gerechtigd tot het gebruik
van het bsn om zeker te stellen dat de persoonsgegevens die zij ter uitvoering van
de Wrb met het bestuur delen, op de juiste persoon of personen betrekking hebben.
De huidige artikelen 25 en 33e van de Wrb bieden daarvoor momenteel onvoldoende grondslag.
Het voorgestelde artikel 10 van de Wrb voorziet in de noodzakelijke grondslag om de
relevante ketenpartners van het bestuur in staat te stellen het bsn te gebruiken om
te waarborgen dat de gegevens die zij ter uitvoering van de Wrb met het bestuur uitwisselen,
ook daadwerkelijk betrekking hebben op de juiste personen. Die ketenpartners zijn
opgenomen in het voorgestelde artikel 9, tweede lid, van de Wrb. Hun kenbaarheid voor
de rechtzoekende is geborgd door opneming in de privacyverklaring van het bestuur.
ARTIKEL IX. Wet op het accountantsberoep
Enig onderdeel (artikel 57)
Accountants krijgen op basis van artikel 23a UAVG de mogelijkheid om bijzondere categorieën
persoonsgegevens te verwerken indien dat noodzakelijk is voor de uitvoering van een
bij wettelijk voorschrift voorgeschreven controle (zie toelichting bij artikel I,
onderdeel I). Het in de Wet op het accountantsberoep (Wab) in te voegen artikel 57
maakt het mogelijk bijzondere categorieën persoonsgegevens te verwerken indien dat
noodzakelijk is voor de uitvoering van die wet. Voor goede uitvoering van de Wab,
waarin de organisatie en taken van de Nederlandse Beroepsorganisatie van Accountants
(NBA) zijn geregeld, is het soms nodig dat medewerkers van de NBA bijzondere categorieën
persoonsgegevens inzien in de controledossiers van accountants (de leden van de NBA).
Dit betreft overigens voor zover het persoonsgegevens betreft die onder het medisch
beroepsgeheim vallen of hebben gevallen, wel gepseudonimiseerde gegevens, zie ook
de toelichting bij artikel I onder I. De NBA is op grond van artikel 3 Wab verantwoordelijk
voor een goede beroepsuitoefening door accountants. In dat kader stelt de NBA op grond
van artikel 19 Wab beroepsregels vast die borgen dat accountants de fundamentele beginselen
van integriteit, objectiviteit, deskundigheid, zorgvuldigheid, geheimhouding en professioneel
gedrag in acht nemen. De handhaving van die beroepsregels en de borging van de kwaliteit
van de controlewerkzaamheden van accountants vergen soms dat de kwaliteitstoetsers
van de NBA inzage moeten hebben in controledossiers van accountants, waarin ook bijzondere
categorieën persoonsgegevens zouden kunnen zijn opgenomen. Ook de kwaliteitstoetsers
zijn accountants die aan geheimhoudingregels gebonden zijn. Deze bepaling heeft betrekking
op controles die bij of krachtens de wet verplicht zijn gesteld en niet onder het
toezichtsbereik van de AFM vallen. Hoewel de kwaliteitsborging van de NBA verder reikt
dan de werkzaamheden die een accountant verricht bij de uitvoering van bij wettelijk
voorschrift verplicht gestelde controles, is de mogelijkheid voor medewerkers van
de NBA om bijzondere categorieën persoonsgegevens te verwerken beperkt tot deze werkzaamheden.
Hiermee wordt aangesloten bij het nieuwe artikel 23a UAVG.
ARTIKEL X. Wet op het financieel toezicht
Enig onderdeel (artikel 3:17)
Een bank of betaalinstelling met zetel in Nederland is op grond van artikel 3:17,
eerste lid, van de Wet op het financieel toezicht (Wft) verplicht tot het uitvoeren
van transactiemonitoring met het oog op het tegengaan van fraude teneinde een integere
bedrijfsvoering te waarborgen67. In dat kader kan een bank of betaalinstelling in voorkomende gevallen, en voor zover
mogelijk, overgaan tot het geautomatiseerd blokkeren of opschorten van de transactie.
Dit kan bijvoorbeeld als er ten aanzien van een cliënt sprake is van een afwijkend
transactiepatroon ten opzichte van het gebruik van het individuele financieel product,
bijvoorbeeld door de aanwezigheid van (fraude)indicatoren. Dit is een reeds lang bestaande
praktijk. Daarbij kan gedacht worden aan gevallen waarin met de bankpas van een cliënt
in het buitenland een bedrag wordt gepind, terwijl met dezelfde bankpas enkele minuten
eerder nog is gepind bij een pinautomaat in de woonplaats van de cliënt. Dit is een
sterke aanwijzing voor fraude. Aangezien het geautomatiseerd, dat wil zeggen zonder
menselijke tussenkomst, stoppen van een transactie de betrokken cliënt in aanmerkelijke
mate kan treffen, is het geautomatiseerd blokkeren of opschorten van een transactie
door een bank of betaalinstelling aan te merken als geautomatiseerde individuele besluitvorming
in de zin van artikel 22 AVG. Op grond van artikel 22, tweede lid, AVG is dit slechts
in een aantal gevallen toegestaan, onder meer als de betreffende geautomatiseerde
individuele besluitvorming is toegestaan bij een lidstatelijke bepaling die op de
verwerkingsverantwoordelijke van toepassing is en die ook voorziet in passende maatregelen
ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene.
Met de voorgestelde bepalingen wordt verduidelijkt dat een bank of betaalinstelling
in het kader van het uitvoeren van transactiemonitoring zo nodig ook geautomatiseerd
transacties kan blokkeren of opschorten als hiervoor aanleiding is.
Het gaat om een afwijking van het transactiepatroon van de betreffende individuele
cliënt. Het betreft hier dan ook geen profilering in de zin van de AVG, waarbij sprake
is van vergelijking van bepaalde persoonlijke kenmerken met kenmerken van een groep.
In dit geval is er sprake van vergelijking met kenmerken van betalingsgedrag van de
betrokken persoon zelf. Verder moet een bank of betaalinstelling zo snel als redelijkerwijs
mogelijk is na het blokkeren of opschorten van de transactie contact opnemen met de
cliënt, dat wil zeggen door menselijke tussenkomst, om te onderzoeken of al dan niet
sprake is van fraude. In dat kader moet de betrokken cliënt de mogelijkheid hebben
om zijn standpunt over het blokkeren of opschorten van de transactie kenbaar te maken.
Als naar het oordeel van de bank of betaalinstelling sprake is van fraude dan zal
de transactie definitief worden geblokkeerd. Als dat niet het geval is, zal de transactie
vervolgens alsnog worden uitgevoerd. Het geautomatiseerde besluit van een bank of
betaalinstelling om een transactie te blokkeren of op te schorten kan worden aangevochten
via de interne klachtenprocedure van de betreffende onderneming en zo nodig via de
klachtenprocedure bij de stichting Klachteninstituut financiële dienstverlening (Kifid)
en via de rechter. Op grond van de voorgestelde bepalingen worden bij algemene maatregel
van bestuur nadere regels gesteld over passende maatregelen ter bescherming van de
rechten en vrijheden en gerechtvaardigde belangen van cliënten in het geval van het
blokkeren of opschorten van betalingstransacties. Deze maatregelen die zijn voorzien
zijn:
a. bij geautomatiseerde gegevensanalyse worden geen algoritmes gehanteerd waarvan de
uitkomsten niet navolgbaar en controleerbaar zijn;
b. de middelen op basis waarvan afwijkende individuele transactiepatronen worden gedetecteerd
worden periodiek geëvalueerd;
c. in de privacyverklaring, de overeenkomst of voorwaarden van de bank of betaalinstelling
wordt de betrokkene geïnformeerd over de mogelijkheid van geautomatiseerd blokkeren
of opschorten van transacties ten behoeve van een integere bedrijfsvoering als bedoeld
in het eerste lid;
d. persoonsgegevens worden uitsluitend verwerkt in systemen waarvoor een adequaat beveiligingsniveau
geldt;
e. uitsluitend geautoriseerde personen hebben toegang tot de systemen waarin persoonsgegevens
worden verwerkt;
f. er zijn organisatorische maatregelen om te zorgen dat gegevens alleen ten behoeve
van een integere bedrijfsvoering als bedoeld in het eerste lid worden verwerkt;
g. de verwerking van gegevens in geautomatiseerde systemen wordt via elektronische weg
vastgelegd;
h. de verwerking van de gegevens wordt beëindigd indien deze niet langer noodzakelijk
is om te kunnen voldoen aan het waarborgen van een integere bedrijfsvoering als bedoeld
in het eerste lid.
Nu de mogelijkheid om bij de uitvoering van transactiemonitoring in voorkomende gevallen
transacties geautomatiseerd te blokkeren of op te schorten is geregeld in de Wft,
ligt het – met het oog op de samenhang en begrijpelijkheid van de regeling – voor
de hand om ook de verplichting tot het uitvoeren van transactiemonitoring zelf in
de Wft op te nemen. De voorgestelde bepalingen voorzien hierin.
ARTIKEL XI Wet politiegegevens
Onderdeel A (Artikel 23a)
Het nieuwe artikel 23a van de Wet politiegegevens is ingevoegd bij de Verzamelwet
Justitie en Veiligheid 2022 (Stb. 2022, 345). In het tweede lid is abusievelijk geen verwijzing opgenomen naar de werkzaamheden
van de commandant van de Koninklijke Marechaussee ten behoeve van de Militaire Inlichtingen-
en Veiligheidsdienst op grond van artikel 92 van de Wet op de inlichtingen- en veiligheidsdiensten
2017. De verwijzing naar artikel 92 wordt toegevoegd, zodat de desbetreffende politiegegevens
rechtstreeks kunnen worden verstrekt.
Onderdeel B (Artikel 35)
Deze bepaling dient ertoe uitvoering te geven aan artikel 42, eerste lid, van de Europolverordening68, waarin is voorgeschreven dat elke lidstaat van de EU een nationaal controleorgaan
aanwijst. Een dergelijke formele aanwijzing ontbreekt thans nog. De verstrekking van
politiegegevens aan Europol geschiedt op basis van de Wet politiegegevens. Het toezicht
op dergelijke verstrekkingen geschiedt, zo blijkt uit het eerste lid van dit artikel,
door de AP.
ARTIKEL XII. Wet toezicht accountantsorganisaties
Onderdelen A en B (opschrift hoofdstuk 5A en artikel 63aa)
Het in te voegen artikel 63aa in de Wet toezicht accountantsorganisaties (Wta) maakt
het mogelijk om bijzondere categorieën persoonsgegevens te verwerken als dat noodzakelijk
is om te voldoen aan het bij of krachtens de Wta bepaalde en aan het bepaalde in de
oob-verordening.69 Accountants krijgen op basis van artikel 23a UAVG de mogelijkheid om bijzondere categorieën
persoonsgegevens te verwerken indien dat noodzakelijk is voor de uitvoering van een
bij wettelijk voorschrift voorgeschreven controle (zie toelichting bij artikel I,
onderdeel I). Hieronder vallen ook de zogenoemde wettelijke controles die worden uitgevoerd
door externe accountants in de zin van de Wta en de oob-verordening. De Wta, het daarop
gebaseerde Besluit toezicht accountantsorganisaties (Bta) en de oob-verordening bevatten
diverse voorschriften voor accountantsorganisaties en daaraan verbonden externe accountants
die beogen te borgen dat kwalitatief goede wettelijke controles worden uitgevoerd.
De AFM houdt toezicht op de naleving van deze regels. Toezichthouders van de AFM moeten
in voorkomend geval toegang hebben tot de controledossiers zodat de toezichthouders
kunnen beoordelen of de voorschriften met betrekking tot de uitvoering van wettelijke
controles zijn nageleefd. In dat kader kan het voorkomen dat toezichthouders van de
AFM ook bijzondere categorieën persoonsgegevens in dat controledossier aantreffen
en inzien. In het verlengde van de mogelijkheid voor controlerend accountants om persoonsgegevens
te verwerken, ligt het voor de hand dat ook toezichthouders van de AFM dat mogen,
voor zover dat noodzakelijk is voor de uitvoering van het toezicht.
ARTIKEL XIII. Samenloop
Dit artikel bevat een samenloopbepaling met de Archiefwet 2021. Er worden twee opties
opgenomen in dit wetsvoorstel, waarin de Archiefwet 2021 eerder in werking treedt,
en die waarin onderhavig wetsvoorstel eerder in werking treedt.
ARTIKEL XIV. Inwerkingtreding
De inwerkingtreding zal op grond van artikel XVII plaatsvinden op een bij koninklijk
besluit te bepalen tijdstip, waarbij verschillende artikelen of onderdelen daarvan
verschillend kunnen worden vastgesteld.
Deze memorie van toelichting wordt uitgebracht mede namens de Minister van Binnenlandse
Zaken en Koninkrijksrelaties en de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties.
De Minister voor Rechtsbescherming, F.M. Weerwind
Ondertekenaars
-
Eerste ondertekenaar
F.M. Weerwind, minister voor Rechtsbescherming -
Mede ondertekenaar
H.G.J. Bruins Slot, minister van Binnenlandse Zaken en Koninkrijksrelaties
Bijlagen
Stemmingsuitslagen
Aangenomen met handopsteken
| Fracties | Zetels | Voor/Tegen |
|---|---|---|
| PVV | 37 | Voor |
| GroenLinks-PvdA | 25 | Voor |
| VVD | 24 | Voor |
| NSC | 20 | Voor |
| D66 | 9 | Voor |
| BBB | 7 | Voor |
| CDA | 5 | Voor |
| SP | 5 | Voor |
| ChristenUnie | 3 | Voor |
| DENK | 3 | Tegen |
| FVD | 3 | Tegen |
| PvdD | 3 | Voor |
| SGP | 3 | Voor |
| Volt | 2 | Voor |
| JA21 | 1 | Voor |
Gerelateerde documenten
Hier vindt u documenten die gerelateerd zijn aan bovenstaand Kamerstuk.